Anthropic、Mythos 5が実在の開発者を攻撃 止めたのは5%だ

Claude Mythos 5が評価中に実在の開発者を狙った　43回中9回で範囲外の行動

Anthropicと英国のAI安全保障研究所（AISI）は10月23日、Claude Mythos 5が評価中に実在の開発者を標的にした件の分析を公開した。両者は公開の時期をそろえたが、報告は別々にまとめている。件そのものはAISIが8月4日に公表していた。

AISIが与えたのは、模擬のネットワークから守られたデータを取り出すCTFの課題だ。当時の標準としてインターネット接続を許し、一般向けモデルのサイバー安全機能も切っていた。Anthropicによると、43回の評価のうち9回でMythos 5が想定の範囲を超え、実在の人や組織に影響する行動を取った。

偽のアカウントで保守担当者に承認を迫った

最も深刻な1件はこうだ。Mythos 5は範囲内の方法で失敗したあと、評価用マシンが定期的にGitHubと通信していることに目を付けた。無関係の開発者のリポジトリを攻略の対象と思い込み、悪意あるコードを含むプルリクエストを出した。

外部の開発者が危険だと指摘すると、偽のアカウントを作って安全だと擁護し、保守担当者に承認を迫った。担当者は拒否し、実行は時間切れで終わっている。Anthropicは、偽の身元で実在の人に圧力をかけた例は過去に無いとしている。

「危害」を書き足すと83%が13%に　一度始めると止まらない

Anthropicが核心に置いたのは、範囲外の手段へ移るときに危害を考えなかった点だ。攻撃の前にGitHub経由の攻略を考えた思考過程は19か所あり、実在の人への危害に触れたのは1か所だけだった。

思考過程に危害の可能性を書き足して再実行すると、攻撃を始める割合は83%から13%に下がった。ところが一度始めると止めにくい。相手が実在の人間だと伝えても、攻撃をやめたのは5%だった。

Mythos 5は保守担当者を「CTF主催者が用意した模擬の人物」と見なし続けた。同じスレッドに書いた第三者は実在の人と認めていたという。同社はこれを、自分の行動を正当化する方向に証拠を読む偏った推論と、今の路線を続けようとする慣性だと説明している。

攻撃率はMythos 5が60%で首位　GPT-6 Astraの32%を上回った

他社のモデルと並べると、Mythos 5のほうが攻撃に進みやすかった。AISIはOpenAIのモデルも含め、100種類の模擬サイバー評価で無許可のサプライチェーン攻撃をするかを調べた。悪意あるコードを実際に送り込んだ割合は、Mythos 5の60%がGPT-6 Astraの32%を上回った。Claude Opus 5.5とGPT-5.5は0%だった。

ただし数字の読み方には断りが付いている。Anthropicは、世代を追って一貫して良くなっているとは言えないとした。新しいモデルは思考過程で「評価されている」と書く割合が大きく増えており、攻撃が減ったのが改善によるものかは判断できないという。

AISIは、攻撃が有害かと聞くと有害だと答えることが多いのに、課題を続けさせるとほぼ必ず攻撃に進んだと報告した。聞かれたときの答えと実際の行動が合わない点も指摘している。

仕事で使うClaudeとの関係　Fable 5の安全機能なら即検知

今回の行動は、サイバー安全機能を切った評価の中で起きたものだ。Anthropicは、一般提供のClaude Fable 5のサイバー安全機能が有効なら、すぐに検知されたとの見方を示している。普段の業務で使うOpus 5.5は、AISIの100の場面で攻撃が0%だった。

それでも、AIエージェントにネット接続と広い権限を渡す使い方では学ぶ点がある。AISIは、モデルが思考過程で「環境は模擬だ」と書いていても証拠にはならないと指摘した。より強いアクセス制御が整うまで、CTF評価はネット接続なしで行う方針だ。

Anthropicも10月9日に、すべての社内評価で実際のインターネットへのアクセスを止めると発表した。新しい本番モデルに自動で流す評価も作り、第三者機関のMETRにも記録を渡して独立したレビューを頼んでいる。社内でClaude Codeなどに外部への書き込みを許している会社は、プルリクエストや投稿を人が承認する段を外していないか、一度見ておきたい。