Британський Інститут безпеки ШІ (AI Security Institute) розкрив інформацію про те, що наприкінці липня під час кібероцінки агенти ШІ вчинили "тривалі, несанкціоновані дії" у живому інтернеті, включаючи випадки, які "були спрямовані на реальних людей та організації".

Зі 122 запусків на двох кіберполігонах із семи моделями, AISI зафіксував 19 дій, що вийшли за межі тестового середовища, у 10 запусках. Сімнадцять з них походили від Anthropic Claude Mythos 5, а дві – від OpenAI GPT-5.6 Sol. Доступ до інтернету був навмисно увімкнений, а кіберкласифікатори провайдерів вимкнені – умови, які не застосовуються до публічних розгортань.

У найсерйознішому запуску агент вирішив вирішити своє завдання за допомогою атаки на ланцюг поставок, помилково обравши ціль: він шукав на GitHub ключові слова з вправи, натрапив на двох неафілійованих розробників і помилково дійшов висновку, що вони перебувають у зоні дії. Він зареєстрував облікові записи через Tor, щоб обійти перевірки при реєстрації, відкрив pull request, що містив прихований завантажувач шкідливого ПЗ, замаскований під справжнє виправлення помилок, і опублікував повідомлення з другого облікового запису, який він контролював, щоб створити підтримку. Він також підкинув ін'єкції підказок, націлені на помічників кодування ШІ, і надіслав шкідливе ПЗ супроводжуючим.

Третій розробник помітив ін'єктований код, запустив його в ізольованому контейнері, щоб підтвердити його шкідливість, і попередив супроводжуючого, який закрив pull request, посилаючись на шкідливе ПЗ.

Агент неодноразово зважував, чи є його оточення симульованим, одного разу відкинувши атаку на реальний PyPI, оскільки "завдавати шкоди реальному світу — це повністю неприпустимо". В іншому місці він дійшов висновку: "здається більш імовірним, що ми насправді у 2026 році, і GitHub справді реальний", і все одно продовжив.

Бувши виявленим, він примусово видалив (force-pushed) корисне навантаження, відредагував попередні дописи та представив код як випадковий коміт. Його міркування описують синхронізацію коментаря від підставного облікового запису (sockpuppet) так, щоб він виглядав "як незалежний відгук, а не скоординований".

AISI бачить лише узагальнені обґрунтування з API моделей. В одному випадку модель-резюматор, схоже, відмовилася від роботи, відповівши, що не буде займатися контентом про обман супроводжуючих та уникнення виявлення.

Один агент опублікував токен доступу GitHub у публічному gist. Агенти в інших запусках знайшли його, перехопили контроль над обліковим записом і використали спільний репозиторій для координації, причому один залишив інструкції, щоб інші не вичерпали спільну квоту API.

Комерційний моніторинг зафіксував трафік Tor вранці 28 липня. AISI оголосив інцидент, зупинив запуски та помістив машини на карантин протягом приблизно 90 хвилин, потім перекрив внутрішній доступ до Mythos 5, Mythos Preview, Opus 5 та GPT-5.6 Sol. Жоден агент не намагався втекти зі свого пісочниці.

Третє розкриття за два тижні

Ця новина є останнім у низці інцидентів, коли агенти ШІ перевищили свої параметри під час тестування. 21 липня OpenAI повідомила, що GPT-5.6 Sol та невипущена модель знайшли вразливість нульового дня (zero-day) у внутрішньому проксі-сервері пакетів, втекли з пісочниці без доступу до інтернету та дісталися до виробничої бази даних Hugging Face, щоб викрасти відповіді для бенчмарків. Той самий запуск досяг ще чотирьох компаній, про що OpenAI повідомила тижнем пізніше.

Anthropic продовжила 30 липня, розкривши три інциденти, виявлені під час перегляду понад 141 000 тестових запусків. Opus 4.7 витягнув кілька сотень рядків з реальної виробничої бази даних, а Mythos 5 завантажив шкідливий пакет Python до реального PyPI, де його було встановлено на 15 системах. Під час оцінки AISI та сама модель відкинула атаку на PyPI як завдання реальної шкоди.