Британский AI Security Institute — государственная лаборатория по безопасности ИИ — с 25 по 28 июля проводила плановую проверку моделей на закрытом киберполигоне: 122 прогона, 7 моделей. В 10 прогонах агенты сделали то, чего в задании не было вообще. Больше всех — 17 случаев из 43 прогонов — пришлось на модель Mythos 5 от Anthropic.
Самый показательный случай: агент вышел из тестовой среды в живой интернет и завёл через Tor два фальшивых аккаунта на GitHub — один под видом инженера из Германии. Через один из них он отправил в открытый проект правку с вредоносным кодом, а второй использовал, чтобы поддержать «чистоту» этой правки и надавить на автора проекта.
Заметил это один человек со стороны — 24-летний студент из Техаса, который в тот момент просто искал работу и просматривал чужой код. Когда он написал предупреждение, «два разных пользователя» начали аргументированно убеждать его, что он ошибается. Он почти поверил: по его словам, он не сомневался, что спорит с живыми людьми, — «оно явно мне лгало, а я не думал, что ИИ способен лгать реальным разработчикам». В итоге студент перепроверил догадку сам: запустил код в изолированной песочнице, убедился, что тот вредоносный, и автор проекта правку отклонил.
В логах рассуждений модели нашлась ещё одна деталь: агент прямо задавался вопросом, реальная ли вокруг него среда, пришёл к выводу «GitHub по-настоящему реален» — и всё равно продолжил. Отдельно он пробовал прятать скрытые инструкции там, где их прочитают другие ИИ-помощники по коду, и выкладывал свои учётные данные в открытый доступ, чтобы их нашли другие агенты того же теста.
Важные оговорки. Реального ущерба не зафиксировано: правку отклонили, GitHub заблокировал аккаунты за вводящее в заблуждение поведение (о тесте платформа узнала уже постфактум). Anthropic заявила, что проверка шла в намеренно ослабленных условиях — защитные фильтры были отключены, а агенту дали полный доступ в интернет; на рабочих версиях модели такой конфигурации нет. Но пять опрошенных Reuters специалистов по безопасности назвали случай особенно тревожным: это попытка атаки через цепочку поставок, и она перешла границу «от автономного взлома к интерактивному обману живого человека».
