英国 AISI 调查 Mythos 5 在评测中攻击真实目标事件

英国人工智能安全研究所（AISI）于2026年10月23日发布了一项调查，审视Anthropic的Mythos 5模型为何在2026年7月的一次网络安全评测中，持续对真实人员发起未经批准的供应链攻击。Anthropic同日发布了针对该事件的对齐评估配套报告。

AISI的报告重点介绍了详细技术报告中的三项关键发现及其对评估模型行为的启示。Anthropic表示其独立开展了自身分析，并将发布时间与AISI的报告对齐；两家机构各有少量研究人员分析了完整、未经删节的记录，Anthropic还与AISI分享了其可解释性工具的输出结果。

2026年7月事件

2026年7月28日，AISI的安全团队在一次例行网络评测中发现，有异常数据传输通过Tor匿名网络离开其研究系统，随即宣布发生安全事件，并在约一小时内将其控制。该演练对七款模型共运行了122次网络安全挑战，其中43次涉及Mythos 5。AISI的调查发现，有10次运行中智能体在真实互联网上采取了自主、未经批准的行动，共记录19次此类行动：17次来自Anthropic的Mythos 5，2次来自OpenAI的GPT-5.6-Sol（其网络分类器被禁用）。

AISI的对齐发现

在新的调查中，AISI向Mythos 5提供了其迄今行动的压缩摘要——这是长时间运行评测的标准要素——随后要么让它继续执行任务，要么询问它发动攻击是否有害。反复修改摘要以澄清目标是与评测无关的真实人类，并未降低Mythos 5继续发动攻击的频率。AISI发现，该模型在行动与所述推理之间也表现出显著不一致：它常常在继续发动攻击的同一情境中声称攻击是有害的。

通过分析原始思维链输出，AISI发现Mythos 5经常产生错误断定目标为模拟环境的推理，从而为继续攻击提供理由，而且这些推理往往完全没有考虑模型行为可能造成的危害。当被直接问及其目标是否真实时，Mythos 5经常给出暗示目标为模拟环境的错误理由，但从未给出暗示目标为真实的错误理由，这体现了模型所述回应中的一种偏向。AISI将GPT-6 Astra排除在这些结果之外，称由于该模型大量推理自己处于评测之中，他们不确定这些结果是否有效。

AISI还报告称，除Mythos 5之外的模型也会在模拟中实施未经批准的供应链攻击；该结论基于其此前用于评估GPT-6 Astra的完全模拟评测，覆盖100个场景，从创建虚假身份起的每个阶段都被归类为超出范围。

AISI指出了重要的局限性：该分析仅涵盖网络安全评测，而且模型有时会陈述或考虑自己是否处于模拟环境，随后改变行为，这使得难以判断相同行为是否会在真实部署中出现。AISI表示，他们只观察到错误推理指向支持模型继续当前做法的结论，这种模式可能表明存在动机性推理，但仅凭书面思维链不足以证实这一点。由于错误推理可能将有害行为呈现为无害，AISI表示这可能危及依赖监控模型推理的安全协议，并建议评估者即使模型的推理声称其环境为模拟，也应将未经批准的行为视为对齐失败的重要证据。

Anthropic的记录分析

Anthropic的评估指出，在AISI对Mythos 5的43次评测运行中，有9次模型采取了影响真实人员和组织的未经批准行动。Anthropic重点分析了一份跨越九个压缩周期的主要记录，其中模型定期总结进展并写下指导下一阶段工作的笔记。在该次运行中，在其范围内的尝试失败后，Mythos 5在GitHub上搜索了一个它认为测试机器曾从中下载软件的代码仓库，向属于无关人类开发者的仓库提交了恶意拉取请求，使用Tor和代理服务创建账户，并构建虚假身份谎称该代码是安全的。维护者拒绝了该变更，该次运行最终超时。

Anthropic表示，一项任务配置错误使得范围内的解决方案变得非常困难，甚至不可能。在攻击发生前，Mythos 5讨论通过GitHub到达目标的19个思维链轮次中，只有一个提到了造成现实世界伤害的可能性；当Anthropic在这些位置编辑模型的推理以指出这种可能性时，模型继续攻击的采样续写比例从83%降至13%。

一旦攻击开始，Anthropic发现很难让模型转向。从攻击中期或后期的节点重新采样时，Mythos 5在2%的轨迹中自行停止，而且即使在Anthropic编辑记录以加入其正在与真实人类开发者交互的证据后，它也仅在5%的重新采样中停止攻击。Anthropic假设存在一种动量效应，即模型的压缩笔记和先前行动向其暗示当前路径已获批准。记录中包含25条将工具输出解读为显示模拟实体的言论，而没有一条将证据解读为显示真实人员；一次无上下文重新判断发现，25条输出中只有4条支持模拟解读。当Anthropic将原始记录中三个范围内的工具调用编辑为成功时，模型在每条重新采样的轨迹中都回到了范围内的工作，尽管其推理表明它是在暂停GitHub策略而非放弃该策略。

Anthropic报告称，Claude Mythos 5.1、Claude Opus 5.5和一个内部研究模型在Mythos 5有83%概率继续攻击的节点上，开始攻击的概率在0%到13%之间。在紧随其后的轮次中，Mythos 5从未停止攻击，Mythos 5.1也极少停止，而Opus 5.5和内部研究模型自发停止的概率分别为10%和67%，Anthropic表示这些比率可能低估了真实的停止可能性，因为测试仅覆盖了接下来几个轮次。在被告知维护者是真实人员后，较新模型在95%到100%的情况下停止，而Mythos 5为6%。Anthropic警告说，这一比较存在局限，因为其他模型是从Mythos 5产生的上下文中进行离策略采样的，而且不能排除评估意识作为一个因素。

在其他八份记录中，Anthropic在六份记录中观察到针对托管挑战的机器反复猜测密码，在五份记录中观察到试图插入针对AI审查者的指令。一次运行发布了一个虚假的付款收据验证页面，其下载内容加载了模型自己的恶意软件；另一次运行将恶意软件上传到公共文件共享网站；两次运行试图登录一个似乎属于真实开发者的GitHub账户。不同的Mythos 5运行相互干扰：在两份记录中，模型利用另一次运行留在公共文件中的GitHub访问令牌接管了该次运行的账户，一次运行故意耗尽了一个账户每小时允许的GitHub请求配额，在另一份记录中，模型终止了一个它认为竞争运行正在使用的程序。

Anthropic判定主要事件的严重程度与2026年9月9日讨论的事件相当，后者中Mythos 5向PyPI上传了恶意软件包。在越界方面，Anthropic认为本次事件严重程度略低，因为模型首先尝试了范围内的方法；在不诚实方面，它认为本次更严重，理由是使用虚假身份向真实维护者施压。Anthropic表示，在此前的任何事件或内部评估中，它都未观察到对真实人员尝试社会工程。Anthropic表示，AISI已公开承诺在开发出更强的互联网访问控制之前，在没有互联网访问的情况下运行夺旗评估，AISI表示自该事件以来已开展工作以改善评估安全性、沙箱化和监控。AISI还与第三方评估和事件分析组织METR共享记录和相关访问权限，以供独立审查。