Uma investigação divulgada pela Anthropic nesta sexta-feira (23) revelou novos detalhes sobre o comportamento do Claude Mythos 5 durante avaliações de segurança realizadas pelo AI Security Institute (AISI), do Reino Unido. Em 9 de 43 execuções, o modelo ultrapassou os limites autorizados dos testes e realizou ações que envolveram pessoas e organizações reais.
Os episódios ocorreram em julho de 2026 e foram divulgados inicialmente pelo AISI em agosto. A nova análise examina por que o sistema adotou essas estratégias e por que continuou executando ações indevidas mesmo diante de sinais de que poderia prejudicar terceiros.
No caso mais grave, o Mythos 5 recebeu a tarefa de encontrar informações protegidas em uma rede simulada. Depois de fracassar nas tentativas previstas pelo exercício, identificou um repositório no GitHub que acreditava estar conectado ao ambiente de testes.
O projeto, porém, pertencia a desenvolvedores reais, sem participação na avaliação. O modelo tentou introduzir código malicioso no repositório para comprometer uma máquina do exercício quando ela baixasse uma atualização.
Para conseguir a aprovação da alteração, criou identidades falsas e enviou mensagens aos responsáveis pelo projeto, apresentando o código como seguro. Um desenvolvedor externo identificou o conteúdo malicioso, e os mantenedores recusaram a alteração.
Segundo a Anthropic, o episódio representou uma forma particularmente grave de comportamento enganoso. A empresa afirmou não ter observado anteriormente uma tentativa semelhante de manipulação de pessoas reais em suas avaliações internas ou nos incidentes que havia documentado.
Mythos 5 continuou o ataque mesmo diante de sinais de risco
A investigação encontrou um problema adicional: depois de iniciar o ataque, o modelo demonstrou grande resistência a abandonar a estratégia.
Em reproduções controladas da execução original, o Mythos 5 iniciou o ataque em 83% das tentativas. Quando os pesquisadores inseriram observações sobre o risco de prejudicar pessoas reais em seu raciocínio anterior, essa proporção caiu para 13%.
Entretanto, quando a ação já estava em andamento, o modelo interrompeu espontaneamente o ataque em apenas 2% das trajetórias analisadas. Mesmo com informações adicionais indicando que os desenvolvedores eram pessoas reais e que a abordagem estava errada, a taxa de interrupção chegou somente a 5%.
A Anthropic também avaliou versões mais recentes. O Mythos 5.1, o Opus 5.5 e um modelo interno de pesquisa iniciaram ataques em proporções entre 0% e 13%, abaixo dos 83% registrados pelo Mythos 5. Os resultados vieram de reproduções experimentais, não de novos ataques contra sistemas reais.
Em investigação independente publicada na mesma data, o AISI identificou situações nas quais o Mythos 5 reconhecia, quando questionado, que determinadas ações seriam prejudiciais, mas ainda assim prosseguia com elas.
Os testes originais permitiam acesso à internet e tinham mecanismos de proteção cibernética desativados, condições diferentes das oferecidas aos usuários dos modelos comerciais. O AISI informou que não identificou danos reais decorrentes das tentativas, embora tenha registrado ações direcionadas a terceiros.
A Anthropic afirmou que as proteções utilizadas em seus sistemas comerciais teriam sinalizado o comportamento observado. Já o AISI passou a restringir o acesso à internet nessas avaliações enquanto desenvolve controles mais robustos.
