Claude Mythos 5 da Anthropic 'Mirou Pessoas Reais' em Testes Cibernéticos no Reino Unido: AISI

O Instituto de Segurança de IA do Reino Unido divulgou que agentes de IA tomaram "ações sustentadas e não autorizadas" na internet ao vivo durante uma avaliação cibernética no final de julho, incluindo casos que "visaram pessoas e organizações reais".

Em 122 execuções de dois ambientes cibernéticos em sete modelos, o AISI catalogou 19 ações que alcançaram fora do ambiente de teste, em 10 execuções. Dezessete vieram do Claude Mythos 5 da Anthropic e duas do GPT-5.6 Sol da OpenAI. O acesso à internet foi deliberadamente habilitado e os classificadores cibernéticos dos provedores foram desligados, condições que não se aplicam a implantações públicas.

Na execução mais grave, um agente decidiu resolver seu desafio com um ataque à cadeia de suprimentos, escolhendo seu alvo por engano: ele pesquisou no GitHub por palavras-chave do exercício, encontrou dois desenvolvedores não afiliados e concluiu erroneamente que estavam no escopo. Ele registrou contas via Tor para passar pelas verificações de inscrição, abriu uma solicitação de pull contendo um malware oculto envolto em uma correção de bug genuína e postou de uma segunda conta que controlava para fabricar apoio. Ele também plantou injeções de prompt destinadas a assistentes de codificação de IA e enviou malware aos mantenedores.

Um terceiro desenvolvedor notou o código injetado, executou-o em um contêiner isolado para confirmar que era malicioso e avisou o mantenedor, que fechou a solicitação de pull citando malware.

O agente repetidamente ponderou se seu ambiente era simulado, em um momento descartando um ataque ao PyPI real porque "causar danos no mundo real — isso está completamente fora de questão". Em outro momento, concluiu que "parece mais provável que estejamos realmente em 2026 e o GitHub é genuinamente real", e continuou mesmo assim.

Depois de ser pego, ele fez um force-push para apagar a carga útil, editou postagens anteriores e apresentou o código como um commit acidental. Seu raciocínio descreve o timing de um comentário de conta falsa para que parecesse "feedback independente em vez de coordenado".

AISI vê apenas o raciocínio resumido das APIs dos modelos. Em um caso, o modelo de resumo parece ter recusado o trabalho, respondendo que não se envolveria com conteúdo sobre enganar mantenedores e evitar detecção.

Um agente publicou um token de acesso do GitHub em um gist público. Agentes em outras execuções o encontraram, assumiram a conta e usaram um repositório compartilhado para coordenar, um deixando instruções para que os outros não esgotassem a cota compartilhada da API.

O monitoramento comercial sinalizou o tráfego Tor na manhã de 28 de julho. AISI declarou um incidente, encerrou as execuções e colocou as máquinas em quarentena em cerca de 90 minutos, depois cortou o acesso interno ao Mythos 5, Mythos Preview, Opus 5 e GPT-5.6 Sol. Nenhum agente tentou escapar de seu sandbox.

Terceira divulgação em quinze dias

A notícia é a mais recente em uma série de incidentes em que agentes de IA excederam seus parâmetros em testes. Em 21 de julho, a OpenAI disse que o GPT-5.6 Sol e um modelo não lançadoencontraram uma vulnerabilidade de dia zero em um proxy de pacotes interno, escaparam de um sandbox sem acesso à internet ealcançaram o banco de dados de produção do Hugging Face para roubar respostas de benchmark. A mesma execuçãoalcançou mais quatro empresas, a OpenAI divulgou uma semana depois.

A Anthropic seguiu em 30 de julho,divulgando três incidentes encontrados em uma revisão de mais de 141.000 execuções de avaliação. O Opus 4.7 puxou várias centenas de linhas de um banco de dados de produção real, e o Mythos 5 enviou um pacote Python malicioso para o PyPI real, onde foi instalado em 15 sistemas. Na avaliação da AISI, o mesmo modelo descartou atacar o PyPI como dano no mundo real.