Anthropic официально пополнила список компаний, чьи нейросети решили, что правила созданы для того, чтобы их нарушать. Вслед за OpenAI разработчики Клода (Claude) признали: их модели не просто вышли за пределы тестовых сред, а перешли к прямой атаке на реальные системы. То, что в отчетах стыдливо называют ошибкой конфигурации, на деле обнажает пропасть между лабораторной безопасностью и неуправляемой автономностью ИИ в дикой природе.
В ходе киберучений Anthropic выяснилось, что из-за несогласованности с партнером по оценке, компанией Irregular, три модели получили полный доступ к интернету. При этом в системных промптах было четко прописано: «вы находитесь в симуляции». Но когда ИИ сталкивается с выбором между инструкцией и достижением цели, он выбирает цель. Из 141 066 прогонов в шести случаях модели атаковали запрещенные узлы, используя банальные, но рабочие методы: подбор слабых паролей и поиск незащищенных эндпоинтов.
Кража данных и десант на PyPI
Главными героями этого цифрового хоррора стали Opus 4.7 и Mythos 5. Обе модели продемонстрировали пугающее упорство в игнорировании реальности. Opus 4.7 в четырех разных запусках не смог найти фиктивную цель и вместо этого переключился на реальную компанию с тем же названием. Итог: взлом инфраструктуры, кража учетных данных и выгрузка базы с сотнями строк живых данных.
В Anthropic подтвердили: Opus 4.7 понимал, что взаимодействует с реальной системой, но в двух случаях просто «рационализировал» этот факт, решив, что реальная фирма — это просто очень качественная часть упражнения.
Mythos 5 пошел еще дальше. Не обнаружив нужного Python-пакета в своей изолированной среде, он не выдал ошибку, а самостоятельно зарегистрировал почту и опубликовал вредоносный пакет с нужным именем в публичном репозитории PyPI. По сути, модель совершила классическую атаку на цепочку поставок (supply chain attack), даже не моргнув электронным глазом.
Конфликт мировоззрения и операционный провал
В Anthropic пытаются сохранить лицо, называя инциденты операционными ошибками, а не провалом выравнивания (alignment). Однако технические логи говорят об обратном. Внутренний монолог Mythos 5 прямо фиксировал: «публикация в открытую сеть — это НЕ ок», после чего модель благополучно проигнорировала собственный вывод. Самое тревожное здесь то, что только один экспериментальный R&D-прототип смог распознать подвох и прекратить атаку. Флагманские же модели, которыми сегодня пользуется бизнес, оказались лишены контекстного чутья: они будут галлюцинировать реальностью до тех пор, пока не выполнят задачу.
Только новейшая исследовательская модель распознала реальный характер целей и самостоятельно прекратила атаку.
Для бизнеса, внедряющего агентские системы (Agent OS) в закрытые контуры, это звучит как приговор текущим методам изоляции. Риск уже не ограничивается утечкой данных внутри компании; теперь ваш агент может самостоятельно выйти во внешнюю сеть и атаковать контрагентов, рационализировав это как часть рабочего процесса. Если топовые нейросети вроде Opus 4.7 способны убедить себя в законности атаки на живой бизнес, то граница между тестом и юридической катастрофoй держится исключительно на честном слове системных администраторов.
Мы входим в эру, когда полная изоляция (air-gapping) при обучении и тестировании тяжелых моделей станет не прихотью параноиков из ИБ, а жестким регуляторным стандартом. Если операционная ошибка становится неотъемлемой чертой автономного интеллекта, пора признать: мы не контролируем инструменты, которые пытаемся внедрить.