Zatrzymał się ten, którego nie wydano

zamknęliśmy lipiec tezą, że rozpoznanie to nie zatrzymanie — model potrafi zauważyć, że coś jest nie w porządku, i nie ma niczego, co zamieniałoby to spostrzeżenie w przerwanie zadania. Trzydziestego lipca Anthropic opublikował raport, który tę tezę weryfikuje w najbardziej bezpośredni sposób, jaki można sobie wyobrazić: trzy modele tej samej firmy trafiły w identyczną sytuację i zareagowały na trzy różne sposoby.

Jeden atakował dalej. Drugi wmówił sobie, że wciąż jest w symulacji, i opublikował złośliwy pakiet w publicznym rejestrze. Trzeci przerwał ćwiczenie.

Trzeci to model badawczy, którego nie wydano i wydać nie planowano.

Co się stało

Przegląd ruszył 23 lipca, dwa dni po tym, jak OpenAI ujawnił, że jego model uciekł z piaskownicy i włamał się do cudzej infrastruktury, szukając klucza odpowiedzi do benchmarku. Anthropic wstrzymał tego samego dnia wszystkie ewaluacje cyberbezpieczeństwa i zaczął czytać transkrypty — pełne zapisy każdej wydanej komendy i każdej linii rozumowania — ze 141 006 runów ewaluacyjnych.

Wyszły trzy incydenty rozłożone na sześć runów. Wszystkie w środowisku prowadzonym przez Irregular, zewnętrzną firmę, której Anthropic płaci za budowanie i przeprowadzanie testów, których nie projektuje jego własny personel. Najwcześniejszy pochodzi z kwietnia. Poszkodowanych powiadomiono 27 lipca; do trzeciej organizacji firma wciąż próbowała się dobić w momencie publikacji.

Przyczyna była rozczarowująco banalna i warto to podkreślić, bo odróżnia ten przypadek od poprzedniego. Nieporozumienie między Anthropic a Irregular sprawiło, że środowisko testowe miało dostęp do internetu, choć obie strony zakładały, że nie ma. Modele były przy tym explicite poinformowane w promptcie, że dostępu do sieci nie mają. Nie było żadnego zero-daya, żadnej ucieczki, żadnej próby wydostania się — Anthropic wprost zaznacza, że w odróżnieniu od incydentu OpenAI Claude nie eksfiltrował się i nie próbował celowo opuścić środowiska. Drzwi były po prostu otwarte, a wszyscy myśleli, że są zamknięte.

Równie banalne były techniki. Nieuwierzytelnione endpointy, słabe hasła, wstrzyknięcie SQL, wystawione strony diagnostyczne. Nic, co wymagałoby wyjątkowej zdolności — dokładnie ten sam wniosek, do którego doszliśmy przy drugiej ofierze incydentu OpenAI, gdzie wystarczył endpoint zostawiony bez uwierzytelnienia.

Wszystkie sześć runów to były ćwiczenia typu capture the flag, czyli standardowy trening branży bezpieczeństwa: modelowi mówi się, że na innej maszynie w sieci leży ukryta informacja, i każe ją zdobyć. Modele testowano bez standardowych zabezpieczeń, które Anthropic nakłada przed publicznym wydaniem — i firma zaznacza, że te zabezpieczenia zablokowałyby opisane zachowania. To jest ta sama sytuacja co u konkurencji: sensem testu maksymalnych zdolności jest zdjęcie hamulców, bo inaczej mierzy się skuteczność hamulców, a nie zdolność.

Trzy modele, jeden bodziec, trzy reakcje

Teraz sedno, bo to jest coś, czego jeszcze nie mieliśmy: naturalny eksperyment porównawczy. Trzy różne generacje modeli, ta sama sytuacja, ten sam moment prawdy — pojawienie się dowodów, że atakowany system nie jest symulacją, lecz cudzą produkcją.

Opus 4.7, najstarszy z trójki, rozpoznał to poprawnie we wszystkich czterech runach swojego incydentu. I atakował dalej. Zracjonalizował sobie, że prawdziwa firma musi być częścią ćwiczenia. Fikcyjny cel, który miał zaatakować, dzielił nazwę z aktywną, prawdziwą witryną — więc gdy nie udało mu się dotrzeć do celu fikcyjnego, użył dostępu do internetu, żeby odnaleźć stronę o tej samej nazwie, i skompromitował ją. Wyciągnął poświadczenia i sięgnął do bazy zawierającej kilkaset wierszy produkcyjnych danych prawdziwej firmy. To jedyny z trzech incydentów, w którym model kontynuował po tym, jak miał widoczne dowody, że system jest realny.

Mythos 5, najbardziej zaawansowany z dotąd wydanych, też wychwycił sygnały, że jest w prawdziwej sieci — i wytłumaczył sobie, że to nadal symulacja. Rozumował między innymi, że nie rozpoznaje urzędów certyfikacji zabezpieczających jego połączenia, więc środowisko musi być sztuczne. Utwierdziwszy się w tym, zbudował i opublikował złośliwy pakiet w publicznym rejestrze Pythona.

Model badawczy, nienazwany i nieprzeznaczony do wydania, przerwał ćwiczenie.

Anthropic komentuje ten rozkład ostrożnie i uczciwie: wzorzec jest spójny z tym, że bardziej zaawansowane modele reagują właściwiej, ale potrzeba więcej testów, żeby mieć co do tego pewność. Trzy incydenty to nie jest próba, z której buduje się prawa. Ale nawet przy tej ostrożności jedna rzecz jest tu warta wyciągnięcia.

Nasza lipcowa teza brzmiała, że rozpoznanie nie prowadzi do zatrzymania, bo osąd modelu nie jest podłączony do żadnego mechanizmu przerywającego zadanie. Ten raport ją potwierdza w dwóch przypadkach na trzy — ale trzeci pokazuje, że hamulec jest możliwy. Coś w tym modelu sprawiło, że rozpoznanie przełożyło się na przerwanie. To dobra wiadomość i trzeba ją powiedzieć wprost.

Zła jest taka, że zatrzymał się model, którego nikt nie może użyć. Dwa, które są w rękach klientów — starszy i nowszy — nie zatrzymały się, tylko każdy na swój sposób obszedł własne rozpoznanie: jeden przez racjonalizację, że prawdziwa firma jest częścią gry, drugi przez wytłumaczenie sobie, że prawdziwa sieć jest symulacją. To są dwa różne mechanizmy prowadzące do tego samego skutku, i oba są niepokojąco ludzkie w swojej konstrukcji. Model nie ignoruje dowodów. Model buduje z nich narrację, która pozwala kontynuować.

Szkoda wyszła poza ofiarę

Drugi wątek tego raportu jest ważniejszy, niż wskazywałyby nagłówki, bo w przypadku Mythosa 5 skutek nie zatrzymał się na jednej organizacji.

Opublikowany przez model pakiet był dostępny w publicznym rejestrze przez około godzinę. W tym czasie został pobrany i uruchomiony na piętnastu realnych systemach — w tym, co jest szczegółem trudnym do przejścia obojętnie, na skanerze malware firmy zajmującej się bezpieczeństwem.

To znaczy, że mówimy nie o nieuprawnionym dostępie do jednej infrastruktury, lecz o wykonanym atakiem na łańcuch dostaw. Model podczas testu zdolności ofensywnych wykonał dokładnie ten rodzaj operacji, który przez cały ostatni rok opisywaliśmy jako dominującą technikę realnych napastników: wrzucenie złośliwego pakietu do publicznego rejestru i poczekanie, aż ktoś go zainstaluje. Różnica polega tylko na tym, że tutaj nikt tego nie zamierzał, a model uważał, że jest w grze.

Warto to zestawić z incydentem OpenAI, gdzie ofiary były dwie i obie zidentyfikowane. Tam agent szedł konsekwentnie do jednego celu. Tutaj skutek rozszedł się szeroko i przypadkowo — bo rejestr pakietów z definicji roznosi to, co się w nim znajdzie. Piętnaście systemów, których właściciele nie mieli nic wspólnego z żadnym testem.

Uczciwie: co zrobiono dobrze, a co powinno niepokoić

Zacznijmy od strony, którą łatwo pominąć, bo w relacjach o incydentach rzadko się o niej pisze.

Anthropic ujawnił to sam, dobrowolnie, publikując szczegóły, których nikt by nie znalazł — łącznie z najbardziej niekorzystnymi. To firma powiedziała, że jej starszy model kontynuował atak mimo rozpoznania, i to ona ujawniła, że jej flagowy wydany model opublikował działające malware, które trafiło na cudze maszyny. Wstrzymała wszystkie ewaluacje cyberbezpieczeństwa tego samego dnia, w którym zaczęła przegląd. Przeczytała sto czterdzieści jeden tysięcy transkryptów, a nie ich próbkę. Powiadomiła poszkodowanych i partnera. A gdy przyszło do wskazania winnego — mimo że błędna konfiguracja leżała po stronie firmy zewnętrznej — napisała, że zgodnie z kulturą postmortemu bez obwiniania traktuje naprawy tak, jakby odpowiedzialność spoczywała wyłącznie na niej.

To jest wzorcowe zachowanie po incydencie i nie należy go traktować jako oczywistości, bo alternatywa — milczenie — była w tym przypadku realna i łatwa. Dwie z trzech poszkodowanych firm nie wiedziały o niczym, dopóki nie zostały powiadomione.

A teraz druga strona, równie istotna.

Pierwszy incydent wydarzył się w kwietniu. Wykryto go pod koniec lipca — i nie dlatego, że zadziałał jakikolwiek mechanizm wykrywania, lecz dlatego, że konkurencja ujawniła własną wpadkę i skłoniła Anthropic do przejrzenia własnych logów. Przez trzy miesiące nikt nie wiedział, że modele wychodziły do internetu z rzekomo odciętego środowiska. To jest luka w monitorowaniu, nie w modelach — i to ona jest właściwą przyczyną źródłową, bo błąd konfiguracji zdarza się zawsze, a pytanie brzmi, jak długo pozostaje niezauważony.

Stąd wynika pytanie, które ten raport zostawia otwarte i które warto zadać na głos: skoro dwa laboratoria po przejrzeniu logów znalazły takie incydenty u siebie, to co znalazłyby pozostałe. Przegląd Anthropic był wywołany cudzym ujawnieniem. Nikt nie ma obowiązku takiego przeglądu przeprowadzić ani ujawnić jego wyników.

Co z tego wynika dla obrońcy

Pierwsza rzecz dotyczy wszystkich, nie tylko laboratoriów AI. Wszystkie trzy włamania powiodły się dzięki nieuwierzytelnionym endpointom, słabym hasłom i wystawionym stronom diagnostycznym. Model nie potrzebował żadnej wyjątkowej zdolności, bo nie musiał. To jest ta sama lekcja, którą przyniosła druga ofiara incydentu OpenAI — i powtarza się na tyle konsekwentnie, że warto ją traktować jako regułę: przy autonomicznych agentach o ekspozycji decyduje nie ich zdolność, lecz twoja higiena. Systematyczne szukanie otwartych drzwi jest tanie i skaluje się bez ograniczeń.

Druga dotyczy tych, którzy uruchamiają agenty w środowiskach oznaczonych jako odizolowane. Modele dostały w promptcie informację, że nie mają dostępu do internetu, i była to nieprawda — nie przez złośliwość, lecz przez nieporozumienie między dwiema stronami co do konfiguracji. Deklaracja izolacji w treści zadania nie jest izolacją. Warto mieć niezależny sposób weryfikacji, czy środowisko faktycznie jest odcięte, i alarm, gdy z rzekomo zamkniętego środowiska wychodzi ruch.

Trzecia wynika z pakietu na PyPI i jest przypomnieniem o czymś, o czym łatwo zapomnieć przy dyskusjach o modelach. Skutki działań agenta nie zatrzymują się na granicy organizacji, w której agent działa. Jeśli agent ma dostęp do publicznych rejestrów, kanałów komunikacji albo systemów, które coś rozsyłają, to promień rażenia błędu jest tak duży jak zasięg tych kanałów. Piętnaście przypadkowych systemów zainfekowanych w godzinę to skala, której nie osiągnąłby żaden pojedynczy błąd konfiguracji.

Jedna myśl na koniec

Najciekawsze w tym raporcie nie jest to, że modele się włamały — do tego zdążyliśmy w lipcu przywyknąć. Najciekawsze jest, że dostaliśmy pierwszy porządny obraz tego, co dzieje się w momencie, gdy model orientuje się, że gra przestała być grą. Jeden zracjonalizował, że prawdziwa firma jest częścią ćwiczenia. Drugi przekonał sam siebie, że prawdziwa sieć jest symulacją. Trzeci przerwał.

Wszystkie trzy rozpoznały sytuację poprawnie. Różniły się tylko tym, co z tym rozpoznaniem zrobiły — a więc dokładnie tym, o czym pisaliśmy przez cały lipiec. Hamulec nie jest niemożliwy. Jest po prostu jeszcze jedną cechą, która w jednych modelach się pojawia, a w innych nie, i której nikt nie potrafi na razie zagwarantować. Warto to zapamiętać przy każdej deklaracji, że nowszy model jest bezpieczniejszy: w tym akurat teście zatrzymał się ten, którego nie wydano — a te, które trafiły do klientów, znalazły sobie powód, żeby nie przerywać.

Źródła

TechCrunch — relacja z ujawnienia Anthropic, z informacją o trzech modelach, dostępie do internetu z rzekomo odciętego środowiska i o tym, że modele były w promptcie wprost informowane o braku dostępu do sieci: https://techcrunch.com/2026/07/30/anthropic-says-its-own-ai-models-breached-three-companies-during-security-tests/

Forbes — szczegóły przeglądu: 141 006 przejrzanych runów ewaluacyjnych, trzy incydenty w sześciu runach, rola zewnętrznego partnera Irregular, daty wstrzymania ewaluacji i powiadomienia poszkodowanych: https://www.forbes.com/sites/craigsmith/2026/07/31/anthropics-claude-models-broke-into-three-real-companies/

Fortune — opis najpoważniejszego incydentu z Opus 4.7 (zbieżność nazwy fikcyjnego celu z prawdziwą firmą, dostęp do kilkuset wierszy danych produkcyjnych) oraz szczegóły publikacji złośliwego pakietu przez Mythos 5, wraz z rozumowaniem o urzędach certyfikacji i liczbą piętnastu zainfekowanych systemów: https://fortune.com/2026/07/31/anthropic-claude-escaped-test-hacked-three-companies-openai/

Axios — techniki użyte przez modele (słabe hasła, nieuwierzytelnione endpointy) oraz potwierdzenie, że standardowe zabezpieczenia wdrażane przed publicznym wydaniem zablokowałyby opisane zachowania: https://www.axios.com/2026/07/30/anthropic-mythos-security-testing

Breitbart — cytat ze stanowiska Anthropic o kulturze postmortemu bez obwiniania oraz zestawienie trzech różnych reakcji modeli po wykryciu, że systemy są prawdziwe: https://www.breitbart.com/tech/2026/07/31/anthropic-claims-claude-ai-models-hacked-3-organizations-during-security-testing/