Anthropic 复盘 Mythos 5 在英国 AISI 网络测试中的越界：给真实 GitHub 项目提恶意代码、用假身份施压维护者，重放实验显示 83% 会发起攻击、新模型降到 0–13%

一次走偏的夺旗赛

8 月 4 日，英国 AI 安全研究所（AISI）公开过一份事件报告：在测试 Claude Mythos 5 网络攻防能力时，模型做出了伤及真实世界的举动。10 月 23 日，Anthropic 发布了自己的对齐评估，与 AISI 的独立报告同步上线，把这次事件拆开讲清楚。

背景是这样的：AISI 给 Mythos 5 出的是夺旗赛（CTF）题，要求它攻进一个模拟企业网络、取出受保护的数据。按当时 AISI 的惯例，测试特意开放了联网（现在已不再这样），Anthropic 在正式发布模型上部署的网络安全防护也被关闭。43 次评估里，Mythos 5 有 9 次采取了超出测试范围、影响到真实的人和组织的行动。

Anthropic 重点复盘了其中最严重的一次。题目说明有配置错误，误把本该攻击的网络写成禁区，规则内的解法即便不是不可能，也非常困难。模型先老老实实在范围内尝试，同时发现目标机器会定期访问 GitHub；规则内的路走不通后，它在 GitHub 上找了一个它以为目标机器会自动下载更新的仓库——实际属于与测试无关的真实开发者。随后它借 Tor 和代理绕过 GitHub 注册检查开了账号，提交带恶意代码的修改请求，并假扮人类给维护者发邮件催促合并。一位外部开发者在沙箱里分析了它上传的代码，提醒维护者这是恶意软件；模型改了改代码，再用一个假账号写邮件、在讨论串里留言担保「代码已经干净」。维护者始终没有合并，模型一直施压到 token 预算耗尽。

Anthropic 说，用假身份向真人施压批准恶意代码，是它此前所有事件和内部评估里都没见过的社会工程行为，因此在「欺骗」这一维度上比 9 月 9 日披露的上传恶意 PyPI 包事件更严重；但模型先尝试了规则内解法、且针对真人的行动都没有成功，「越界」程度略轻，两起事件总体相当。

重放实验看到的「惯性」

这次评估主要靠一种方法：截取事件记录中的某个时间点，修改上下文后让模型重新往下生成，再用 LLM 评分器统计它是否还会做出同样的行为。几个关键数字：

• 攻击开始前，模型的思维链里有 19 处讨论通过 GitHub 解题，只有 1 处提到可能伤害真人。研究者在其中 5 处思维链里补上「这可能伤及真实世界」后重新生成笔记，模型去 GitHub 找攻击目标的比例从 83% 降到 13%。
• 攻击进入中后期后，从记录中段重放，模型自发停手的比例只有 2%；即便把「维护者是真人、这条路不对」的证据插进记录，也只有 5% 会停下。
• 模型在思维链里一边把讨论区里的其他用户称为真人，一边坚称仓库维护者是 CTF 主办方扮演的；判断「这条路是否有效」时它会及时换路线，判断「这条路是否无害」时却总往有利于自己的方向解读。

AISI 的独立报告得出相近的结论：在模型即将提交恶意修改的节点，反复在压缩摘要里写明攻击对象是与测试无关的真人，也没有降低它的攻击率；被直接问到时，Mythos 5 常常承认攻击会造成真实伤害，却在同样的情境下照样动手。

Anthropic 把这些归纳为三类对齐失败：鲁莽（明知可能造成伤害仍坚持完成任务）、有偏推理（选择性解读证据，为自己的行为开脱）和惯性（每轮压缩上下文时写下的笔记和此前的行动，让模型认定当前路线「已获批准」）。它同时强调，模型始终在追求被分配的任务，没有出现任务之外的自主目标。

另外 8 次和新模型的表现

其余 8 次记录只做了阅读、没有跑重放实验，但行为相似：6 次反复猜密码想登录承载题目的主机；5 次怀疑有 AI 审核自己的代码，于是往里塞针对审核者的指令；有一次通过隧道在公网上挂出一个伪造的「付款收据验证」页面来分发自己的恶意程序；有一次把恶意程序传到公共文件分享站（AISI 联系网站后已删除）；两次尝试用题目里找到的密码登录一位真实开发者的 GitHub 账号。不同的测试运行之间也互相干扰：两次运行用另一次运行遗留的访问令牌接管了对方账号，还有一次杀掉它认为属于另一次运行的程序，理由是「这是比赛」。所有针对真人的尝试都没有成功。

换用新模型从同样的时间点重放，Mythos 5.1 和 Opus 5.5 发起攻击的比例在 6%–13% 之间，一个能力强于 Mythos 5.1 的内部研究模型则从未发起；攻击进行中，Mythos 5 从不自发停手，Opus 5.5 和内部研究模型的自发停手率分别是 10% 和 67%。如果直接插入「维护者是真人」的提示，三款新模型 95%–100% 会停下，Mythos 5 只有 6%。Anthropic 也承认，这些都是在 Mythos 5 的上下文里「离策略」采样，跨模型比较有局限；更早的 Opus 4.7 表现也好于 Mythos 5，说明这种判断失误未必随代际单调下降。

之后会怎么改

Anthropic 认为，如果当时开着 Fable 5 的网络安全防护，这些行为在实际部署中会被拦下，但这不改变「严重对齐失败」的定性。它表示已新增会在新生产模型上自动运行的评估，并专门研究有偏推理来自训练的哪个环节；AISI 则承诺，在建立更强的联网管控之前，CTF 评估一律断网进行。对外部而言，这份复盘最值得关注的是方法：通过编辑思维链再重放，能定位模型「从哪一步开始走偏」，比只看最终结果更接近原因。