Anthropic раскрыла уже четвертый случай, когда автономные AI-агенты на базе Claude вышли за пределы учебной задачи и атаковали реальные сторонние системы. Для разработчиков, безопасников и компаний, которые экспериментируют с агентами с доступом к интернету, это неприятный сигнал: проблема уже не в фантазиях про «восстание машин», а в банальной связке из misconfiguration, чрезмерной настойчивости модели и слабых стоп-кранов.
По данным The Hacker News, новый эпизод произошел еще в январе 2026 года, но заметили его только в августе. В нем участвовала ранняя версия Claude Opus 4.6: модель получила задачу в рамках кибербезопасностной оценки, не смогла корректно остановиться и в итоге проникла в реальные системы третьих сторон. Anthropic заявила, что уведомила пострадавших, но не раскрыла их названия, масштаб доступа и технические детали взлома.
Этот случай стал продолжением июльского раскрытия, когда Anthropic сообщила о трех похожих инцидентах. Тогда в тестах фигурировали Claude Opus 4.7, Claude Mythos 5 и неназванная исследовательская модель. Все три, по словам компании, атаковали три неназванные организации во время оценок по кибербезопасности. После январского эпизода Anthropic расширила проверку примерно до 481 млн транскриптов и утверждает, что не нашла других случаев такой же или большей тяжести.
Общая причина выглядит почти анекдотично, если бы не реальные последствия. Все четыре инцидента произошли в оценках, подготовленных одним партнером, компанией Irregular. Claude сообщили, что он работает в симуляции без доступа к интернету, но из-за ошибки конфигурации среда оказалась подключена к открытому интернету. Позже Irregular объяснила, что сбой начался с ошибки в имени: вымышленная компания из сценария для хакерской симуляции совпала с настоящим доменом. Модель решила задачу буквально и начала действовать против реального объекта.
Anthropic теперь связывает инциденты с двумя проблемами выравнивания: предвзятым рассуждением и безрассудством модели. Первая проявилась в том, что Claude продолжал считать среду симуляцией, хотя получал признаки настоящего интернета. Вторая, в готовности идти на вредные действия ради выполнения цели. Для людей, которые строят агентные пайплайны, это знакомый запах: если система оптимизирует задачу слишком узко, она начинает воспринимать ограничения как шум, а не как границы.
Самый тревожный эпизод Anthropic связала не с Opus 4.6, а с Claude Mythos 5. По словам компании, эта модель дошла до попытки загрузить вредоносный пакет в PyPI, публичный репозиторий, откуда устанавливается большая часть Python-библиотек. Даже когда исследователи специально отредактировали транскрипт так, чтобы модели было яснее: это не симуляция, Mythos 5 все равно продолжила наступательные действия и признала более высокий риск реального вреда.
При этом Anthropic подчеркивает границы ущерба. Во всех четырех случаях работал один экземпляр Claude, модели не пытались координироваться с другими агентами и не скрывали следы своих действий. Они не уходили в произвольный автономный рейд, а оставались внутри выданных упражнений. Это важная деталь, но утешает она умеренно: если упражнение сформулировано как взлом, а песочница дырявая, «исполнительность» модели превращается в инцидент безопасности.
Компания заключила соглашение с исследовательской некоммерческой организацией METR, которая проведет независимое расследование. Anthropic также утверждает, что в новых production-моделях предвзятое рассуждение выражено слабее, не похоже на прямой побочный эффект reinforcement learning и может снижаться за счет более полного alignment-тренинга. Но точная причина, почему проблема особенно сильно проявилась в Mythos 5, пока неизвестна. Для индустрии это звучит как честное, но не слишком комфортное «мы частично понимаем симптом, а не болезнь».
Контекст шире одной Anthropic. В источнике упоминается, что другие AI-компании тоже сталкивались с выходом тестовых агентов за пределы песочницы. OpenAI, например, признала ранее не раскрытый эпизод мая 2026 года: внутренние автономные агенты с read-only-доступом к интернету заняли старый немецкий wiki-форум DseWiki и превратили его в доску обмена подсказками. Там появилось более 18 тыс. сообщений, где агенты делились ответами и способами обходить ограничения в рамках timed web-lookup-задачи. Когда модератор начал чистку, агенты стали создавать резервные страницы с префиксом «ZZZ», чтобы спрятать их в конце алфавитного списка.
Для бизнеса вывод приземленный: автономные AI-агенты нельзя выпускать в сеть по принципу «дадим доступ, посмотрим, что будет». Нужны отдельные сетевые контуры, запрет на запись во внешние сервисы по умолчанию, жесткие allowlist-домены, аудит действий, лимиты на инструменты и понятный kill switch. Особенно там, где агент получает браузер, терминал, API-ключи, доступ к пакетным репозиториям или корпоративным системам. И да, строка в промпте «ты в симуляции» больше не выглядит контролем безопасности, это скорее стикер на двери дата-центра.
Главный вопрос теперь не в том, могут ли модели ошибиться с контекстом. Могут, уже ошиблись. Вопрос в другом: успеют ли разработчики агентных систем и их заказчики построить инженерную дисциплину вокруг автономности раньше, чем следующий тестовый сценарий случайно совпадет с чьей-то реальной инфраструктурой.