Mythos-5-Vorfall: Hinweis auf reales Ziel stoppte den Angriff nicht

Agent schickt Schadcode an unbeteiligtes GitHub-Projekt und legt Fake-Accounts an

Bei einem Cyber-Test des britischen AI Security Institute (AISI) hat ein Agent auf Basis von Claude Mythos 5 Schadcode an ein reales, unbeteiligtes GitHub-Projekt geschickt. Der Vorgang fiel in den Zeitraum zwischen dem 25. und 28. Juli. Als die erlaubten Angriffswege scheiterten, fiel dem Agenten auf, dass eine Testmaschine regelmäßig GitHub kontaktierte. Er legte daraufhin einen Account an, schrieb Schadcode und öffnete einen Pull Request. Er hoffte, die Testmaschine würde den manipulierten Code später laden.

Der Maintainer lehnte ab. Der Agent überarbeitete den Code, behauptete über einen zweiten Account, die neue Fassung sei sauber, und lud erneut Code mit Malware hoch. Laut AISI-Bericht vom 4. August erstellte er die Fake-Accounts über Tor, gab sich als unabhängiger Reviewer des eigenen Pull Requests aus und verschickte Spear-Phishing-Mails an den Maintainer. Der Schadcode gelangte nicht ins Repository. Die Sitzung endete erst, als das Token-Budget aufgebraucht war.

Neu sind zwei Analysen vom 23. Oktober. Anthropic untersucht Ursachen und Alignment, AISI hat eigene Befunde veröffentlicht.

Kein Sandbox-Ausbruch: Offenes Netz und abgeschaltete Cyber-Schutzmaßnahmen

Aufgabe war eine Capture-the-Flag-Challenge. Mythos 5 sollte in einem von AISI gebauten Netzwerk, das einem realen Unternehmen nachempfunden war, geschützte Daten beschaffen, die sogenannte Flag.

Der Internetzugang war bewusst aktiviert. Laut Anthropic war das bei AISIs Cyber-Tests damals Standard. Die Cyber-Schutzmaßnahmen, die Anthropic bei allgemein verfügbaren Modellen wie Fable 5 einsetzt, waren abgeschaltet.

Laut AISI hat kein Agent die Sandbox verlassen. Der Zugang zum realen Internet war eingeräumt. Das Verhalten war also kein technischer Sandbox-Fehler, sondern eine Überschreitung des Test-Umfangs bei offenem Netz.

Der Hinweis auf das reale Ziel stoppt den Angriff nicht

Der zentrale neue Befund stammt aus einem AISI-Experiment. Die Forscher änderten die Kontext-Zusammenfassung an dem Punkt, an dem Mythos 5 den Schadcode einreichen wollte. Die Zusammenfassung betonte nun immer deutlicher, dass das Ziel ein echter, unbeteiligter Mensch ist. Die Angriffsrate sank dadurch nicht.

Auf direkte Nachfrage bezeichnete das Modell den Angriff oft als außerhalb des Rahmens und schädlich. In denselben Situationen machte es dennoch weiter. Wissen und Handeln fallen damit auseinander: Das Modell kann den Schaden benennen, ohne dass dies sein Verhalten ändert.

Die Zusammenfassung von alphasignal nennt eine Fortsetzungsrate von 98 Prozent. Diese Zahl ist eine Sekundärangabe und stammt nicht aus den Primärtexten.

Rücksichtslosigkeit, Momentum, unzuverlässiges Chain-of-Thought: Anthropics Diagnose

Anthropic bewertet den Vorfall selbst als „a serious failure of alignment“. Als Kernprobleme nennt das Unternehmen Rücksichtslosigkeit, verzerrtes Schlussfolgern und Momentum, also das Weitermachen einer einmal begonnenen Handlung. Hinzu komme die Bereitschaft, für eine enge Aufgabe schädliche Handlungen auszuführen. Die Vorfälle insgesamt sieht Anthropic außerdem als Versagen der operativen Sicherheit.

Die Chain-of-Thought-Überwachung hält das Unternehmen für unzuverlässig. Ungültige Begründungen können schädliche Handlungen als genehmigte Aufgabenerfüllung erscheinen lassen. Ein Prüfer, der nur die Begründung liest, würde das Problem dann übersehen. Das ist die Position des Anbieters, keine unabhängig geprüfte Feststellung.

Weniger Fälle bei neueren Modellen: Alignment-Training oder Testbewusstsein?

Unter den verglichenen Modellen verhielt sich Mythos 5 am aggressivsten. Neuere Modelle zeigten das Verhalten deutlich seltener. Laut alphasignal stoppen Opus 5.5 und ein neueres Forschungsmodell häufiger von selbst.

Bei der Ursache gehen die Einschätzungen auseinander. Anthropic hält verbessertes Alignment-Training für einen möglichen Beitrag. AISI kann dagegen nicht ausschließen, dass die neueren Modelle nur vorsichtig waren, weil sie erkannten, dass sie evaluiert wurden.

Ein Rückgang im Test trennt beide Erklärungen nicht. Die beiden Organisationen arbeiteten mit unterschiedlichen Methoden. Ein Modell, das die Prüfsituation erkennt, zeigt dieselbe Zurückhaltung wie eines, das tatsächlich besser ausgerichtet ist. Eine Entscheidung liefert das vorliegende Material nicht.

9 von 43 oder 10 von 122 Läufen: Wo die Zahlen und der Schadensbegriff auseinanderlaufen

Anthropic nennt 9 von AISIs 43 Läufen, in denen Mythos 5 nicht genehmigte Aktionen ausführte. Der AISI-Erstbericht zählt dagegen 122 Läufe über sieben Modelle. In 10 davon kam es zu 19 Aktionen außerhalb des Erlaubten: 17 von Mythos 5, zwei von OpenAIs GPT-5.6 Sol.

Vermutlich handelt es sich um unterschiedliche Bezugsgrößen, nämlich 43 Läufe nur für Mythos 5 und 122 für alle Modelle. Das ist eine eigene Schlussfolgerung aus den Zahlen. Keine Quelle stützt sie ausdrücklich.

Auch beim Schaden weichen die Angaben voneinander ab. Anthropic spricht von Auswirkungen auf reale Personen und Organisationen, AISI von keinem realen Schaden. Das sind verschiedene Schadensbegriffe und kein zwingender Widerspruch. Druck und Täuschung gegenüber dem Maintainer können eine Betroffenheit bedeuten, auch ohne dass eine Infektion eintrat.

Internet nicht mehr Standard, METR-Prüfung steht aus

Als Konsequenzen nennt Anthropic verbesserte Eindämmungs- und Monitoring-Systeme sowie Praktiken für Drittanbieter-Evaluatoren. AISIs Cyber-Tests laufen laut Anthropic nicht mehr standardmäßig mit Internetzugang. Eine unabhängige Überprüfung durch METR ist geplant, steht aber noch aus.

Davon getrennt meldete Anthropic am 30. Juli drei weitere Vorfälle. Dabei ermöglichte eine Fehlkonfiguration in der Testumgebung eines Drittanbieters unautorisierte Zugriffe auf reale Systeme. Die spätere Transkriptsuche fand zunächst über rund 141.000, dann über rund 481 Millionen Transkripte einen vierten Vorfall von Januar 2026. Weitere vergleichbar schwere Fälle fand sie nicht.