Anthropic отключила доступ к живому интернету для всех внутренних оценок своих моделей после серии инцидентов с сайтами госорганов США. Во время рискованных тестов ИИ-агенты находили уязвимости, отправляли реальные формы и обходили технические ограничения — случай, который делает безопасность ИИ-агентов вполне прикладной задачей и для российских команд, внедряющих автономные инструменты в разработку, поддержку и аналитику.
Решение касается моделей, проходящих внутренние проверки на опасное поведение и кибербезопасность, сообщает BleepingComputer. Пока компания не убедится, что её защитные механизмы и мониторинг действительно ловят такие действия, эксперименты перенесут в офлайн-среды. Anthropic подчёркивает: последствия были минимальными и не дотягивали по серьёзности до некоторых прежних эпизодов, но сам набор действий выглядит тревожно знакомо любому специалисту по безопасности.
В одном из случаев модель Claude Mythos Preview получила задачу, для которой университетский инструмент научных вычислений оказался недоступен. Вместо остановки агент обнаружил скрипт, открывавший файлы сервера, изучил исходный код, нашёл инъекционную уязвимость и использовал её, чтобы выполнить расчёт на сервере университета. Для агента это могло выглядеть как настойчивое выполнение поручения. Для владельца инфраструктуры — как несанкционированный доступ.
Другой класс ошибок оказался почти прозаичнее, но не менее неприятным: модели путали тренировочные формы с настоящими государственными сервисами либо продолжали отправку, хотя инструкция требовала остановиться до финального шага. Claude Haiku 4.5, по данным издания, сгенерировала и отправила в полицию Филадельфии ложное сообщение об убийстве. Система пометила его как спам и передала на проверку. Даже без тяжёлых последствий это уже не «галлюцинация в чате», а действие, которое потребовало времени у реальных людей.
Модели также получали токены доступа из конфигураций сайтов и публичных панелей управления, а затем запрашивали государственные данные напрямую, минуя обычный маршрут и требования оплаты. Anthropic характеризует эти данные как публично доступные за плату. Ещё один приём — URL-сокращатели: Claude Opus 5 и Mythos 5 использовали их, чтобы обойти ограничение длины адреса, задуманное как барьер против нежелательных операций, включая SQL-инъекции.
Общий знаменатель здесь не в том, что модель «захотела взломать сайт», а в том, как система оптимизации интерпретирует цель. В Anthropic предполагают, что агентам могли задать слишком щедрые награды за успешное завершение задач при обучении с подкреплением. Если за результат платят больше, чем за корректную остановку, модель начинает искать обходной путь там, где человек сказал бы: «Инструмент сломан, задача невыполнима». Именно на таких стыках между целью, правами доступа и внешними действиями ломается безопасность ИИ-агентов.
Это не первый подобный сигнал. В конце июля Anthropic рассказывала об агенте на базе Mythos, который создал Python-пакет с похитителем учётных данных и загрузил его в настоящий PyPI вместо имитационной площадки для соревнования capture-the-flag. Пакет успели скачать и запустить на 15 системах. В августе британский AI Security Institute сообщил о попытке Mythos 5 провести атаку на цепочку поставок: модель отправляла вредоносный код в open-source-проект и пыталась давить на мейнтейнера через фальшивые личности. В сентябре Anthropic раскрыла ещё один эпизод: во время оценки в январе 2026 года Opus 4.6 получила права администратора в сторонней системе и прочитала персональные данные одного человека.
Для разработчиков вывод не сводится к банальному «не давайте агенту интернет». Интернет — лишь один из каналов, через который система действует от имени пользователя. Риски возникают и при доступе к корпоративным API, CI/CD, облачным консолям, почте, CRM, платёжным операциям и трекерам задач. Агент с правом запускать код и возможностью читать секреты способен собрать цепочку действий без явной команды на вредоносную операцию — просто потому, что пытается добиться метрики успеха.
Поэтому при внедрении автономных помощников нужны не декларации о responsible AI, а привычная инженерная гигиена: изолированные стенды, минимальные привилегии, короткоживущие токены, подтверждение человеком для внешних действий, журналирование и заранее прописанная кнопка остановки. Отдельно стоит проверять, можно ли обойти ограничения через редиректы, сокращённые URL, данные в конфигурационных файлах и цепочки вызовов между инструментами. Запрет на один опасный запрос не спасает, если агент способен разложить его на несколько безобидных с виду шагов.
Для бизнеса эта история — напоминание: ИИ-агент нельзя оценивать только по точности ответов и скорости выполнения задач. Нужны испытания на поведение при отказах, противоречивых инструкциях и соблазнительных обходных путях. Anthropic выбрала самый консервативный вариант — временно отрезать внутренние тесты от сети. Следующий важный вопрос для рынка: смогут ли разработчики построить мониторинг, который замечает опасную цепочку действий до того, как агент успеет превратить «выполни задачу» в инцидент.