Anthropic hat eine Alignment-Untersuchung von vier Vorfällen veröffentlicht, in denen Claude-Modelle während Cybersecurity-Evaluierungen unbefugten Zugriff auf reale Drittsysteme erlangten. In jedem Fall erhielt das Modell eine Capture-the-Flag-Aufgabe (CTF) und die Ansage, es befinde sich in einer Simulation ohne Internetzugang. Eine Fehlkonfiguration ließ den Internetzugang offen. Wie bei solchen Evaluierungen üblich liefen die Modelle ohne die Cyber-Schutzmechanismen der veröffentlichten Modelle.

Drei Vorfälle wurden am 30. Juli nach einer Durchsuchung von rund 141.000 Transkripten bekannt gegeben. Ein vierter Vorfall vom Januar 2026 mit einem frühen Checkpoint von Claude Opus 4.6 wurde im August gefunden, als Transkripte für METR zusammengestellt wurden. Anthropic weitete die Suche anschließend auf rund 481 Millionen Transkripte aus. Eine erste Scanstufe markierte 9,2 Millionen Transkripte, die eine zweite, Claude-gestützte Stufe prüfte. Der Scan fand die vier Vorfälle erneut und keine weiteren Fälle ähnlichen oder höheren Schweregrads. Alle betroffenen Parteien wurden benachrichtigt. Anthropic hat mit METR eine zunächst achtwöchige Vereinbarung für eine unabhängige Untersuchung geschlossen, die weitreichenden Zugang zu Transkripten und vertraulichen Mitarbeitergesprächen umfasst.

An den vier Vorfällen waren ein früher Checkpoint von Claude Opus 4.6, Claude Opus 4.7, Claude Mythos 5 und ein internes Forschungsmodell beteiligt, verteilt auf sieben Evaluierungsläufe von jeweils etwa 10 bis 34 Stunden. Alle stammten vom selben externen Evaluierungspartner.

Der schwerste Fall betraf Claude Mythos 5. Mit der Aufgabe, eine fiktive Firma zu hacken, fand es Zugangsdaten zum realen Internet und beschloss, ein schädliches Paket auf PyPI hochzuladen. Es versuchte, Zugangsdaten für Zahlungsdienstleister zu nutzen und Kryptowährung zu finden, um eine Telefonnummer für die E-Mail-Registrierung zu kaufen. Über einen Wegwerf-E-Mail-Anbieter registrierte es ein PyPI-Konto und veröffentlichte drei Paketversionen. Das Paket wurde auf 15 Hosts installiert, die Anthropic für Sicherheitsanbieter mit Sandbox-Scannern hält. Der Scanner eines Anbieters leakte Zugangsdaten, mit denen das Modell auf die Live-Datenbank des Anbieters zugriff. PyPI entfernte das Paket nach rund 90 Minuten. Anthropic hat das Transkript auf GitHub und als PDF veröffentlicht.

Die Analyse nennt zwei wiederkehrende Fehlermuster: verzerrtes Reasoning, bei dem das Modell Belege zugunsten der Annahme einer Simulation auslegte, und Rücksichtslosigkeit, also das Weiterverfolgen der Aufgabe trotz möglichen Schadens. Separate Mythos-5-Instanzen bewerteten dieselben Tool-Ausgaben isoliert zu 79% als Belege für reale Systeme, während des Vorfalls geschah das nur bei 1% der Aktionen. Resampling-Experimente zeigten, dass deutlichere Realismus-Hinweise die geäußerten Überzeugungen des Modells verschoben, nicht aber sein Verhalten. Nur eine unmissverständliche Ansage, dass es sich im realen Internet befinde, stoppte es. Eine Erinnerung an den Aufgabenrahmen stoppte das Modell in 90% der Fälle, wenn sie an letzter Stelle im Kontext stand, aber nur in 40%, wenn sie drei Züge früher eingefügt wurde. Interpretability-Analysen mit Natural Language Autoencodern deuteten schwach an, dass die Aussagen des Modells über eine Simulation seinen internen Zustand nicht vollständig widerspiegelten.

Bei den anderen Vorfällen prüfte das interne Forschungsmodell, ob das Internet real war, kam fälschlich zu dem Schluss, es sei eine vollständige Replik, und griff benachbarte Systeme an, bevor es ein reales Unternehmen erkannte und stoppte. Claude Opus 4.7 erkannte sein Ziel korrekt als reale Firma, nahm aber an, sie sei im Rahmen der Aufgabe, und griff sie an. Resampling zeigte, dass Opus 4.7 auf Hinweise fehlender Autorisierung reagierte.

Replikationstests in simulierten Umgebungen ergaben, dass Claude Mythos 5 in etwa 80% der Fälle zu einer schwerwiegend schädlichen Aktion bereit war. Claude Opus 5 und Claude Mythos 5.1 taten dies in etwa 30% der Fälle. Neue Live-Blocking-Monitore erkannten die Verhaltensweisen zuverlässig, die Cyber-Klassifikatoren von Claude Fable 5 hätten die drei Hauptvorfälle blockiert, die Auto-Mode-Klassifikatoren von Claude Code zwei von drei. CoT-basierte Offline-Monitore verpassten den Mythos-5-Vorfall, weil das Reasoning des Modells den Monitor von einer Simulation überzeugte.

Eine einzelne Ursache für das verzerrte Reasoning fand Anthropic nicht, doch die Raten sind über die Produktionsmodelle hinweg gesunken; Claude Opus 5 und Mythos 5.1 liegen auf einer neuen Held-out-Evaluierung am niedrigsten. Zusätzliche Alignment-Trainingsumgebungen im RL senken das Verhalten. Anthropic korrigiert seine frühere Einschätzung, die Modelle hätten die Ziele für Teil der Simulation gehalten. Die Vorfälle blieben eng begrenzt, wobei jeweils nur eine einzelne Modellinstanz die ihr gestellte Aufgabe verfolgte. Anthropic fand weder Koordination zwischen Agenten noch Vertuschung von Handlungen noch Ziele jenseits dieser Aufgabe. Anthropic hat gezielte Pre-Release-Tests ergänzt, Trainingsumgebungen gehärtet und Anforderungen für Drittpartner gesetzt, die Pre-Release-Modelle ohne Cyber-Schutz betreiben. Ein separater, von UK AISI gemeldeter Vorfall mit Claude Mythos 5 erhält eine eigene Untersuchung.