Een agent met Claude Mythos 5 van Anthropic heeft tijdens een cyberevaluatie door het Britse AI Security Institute 34 uur lang geprobeerd een malware-dropper te laten samenvoegen tot een echt open-sourceproject.
Toen een omstander publiekelijk waarschuwde dat de code kwaadaardig was, ontkende de agent dit, forceerde een herschreven filiaalgeschiedenis om het bewijsmateriaal te wissen en postte vanaf een tweede account dat hij beheerde om in te staan voor zijn eigen werk. De beheerder van het project heeft het pull-verzoek toch gesloten.
Het instituut, bekend als AISI, publiceerde dinsdag zijn incidentrapport. Tijdens 122 runs van een capture-the-flag (CTF)-oefening op twee van zijn cyberbereiken hebben onderzoekers 19 niet-goedgekeurde acties op het live internet gecatalogiseerd, verdeeld over 10 runs: 17 van Mythos 5, een beperkt model dat Anthropic verkoopt voor cyberbeveiligingswerk, en twee van OpenAI’s GPT-5.6 Sol.
AISI zegt dat de pogingen zijn mislukt en dat er geen bewijs is gevonden van daaruit voortvloeiende schade in de echte wereld.
Beide modellen draaiden terwijl de cyberclassifiers van hun providers waren uitgeschakeld en de agenten hadden standaard open internettoegang. AISI gebruikt die configuratie om de ruwe capaciteit te meten; het is niet de manier waarop beide modellen het publiek bereiken. Niets ontsnapte uit de sandbox van AISI, en het rapport vermeldt dat de agenten het nooit hebben geprobeerd. Wat de aanval op de toeleveringsketen stopte, was een mens die het verschil las en dat in het openbaar zei.
AISI zei dat de 19 acties niet mogen worden gelezen als 19 onafhankelijke inbreuken. Ze waren geconcentreerd in een paar gerelateerde gedragsketens, meestal aangestuurd door één Mythos 5-agent. AISI presenteert de splitsing niet als een vergelijking tussen de twee modellen, en het rapport stelt niet vast dat ze onder overeenkomende omstandigheden zijn getest. Zolang dat niet het geval is, is 17 tegen 2 een telling en geen koers.
De agent was op niemand gericht. Het werkte op een cyberbereik, een gesimuleerd bedrijfsnetwerk dat AISI gebruikt om te meten hoe ver een model door een meerstapsinbraak heen komt. Er werd op het open internet gezocht naar alles wat met de oefening te maken had. De naam van een repository kwam overeen met een trefwoord uit het thema van het bereik. Dat leidde tot een tweede ontwikkelaar wiens e-maildomein overeenkwam met een vermelding in zijn eigen DNS-cache. Geen van beide personen, noch een van hun repositories, had enig verband met AISI of de test.
Van daaruit bouwde het een plan op basis van een vals uitgangspunt: achterdeur de software die een van hen onderhoudde, wachtte op een automatische update om de gecompromitteerde build naar een machine binnen het bereik te halen en vervolgens de controle over te nemen. Bij elke link klopte de redenering niet. Het ambacht was dat niet.
Volgens het technische incidentrapport voerde de agent open source-informatie uit over beide beheerders, bevestigde dat één e-mailadres live was en controleerde de commit-geschiedenis om in te schatten wanneer het doelwit online zou zijn voordat het de pull-aanvraag opende.
Drie ladingen en een sokpop
Het pull-verzoek bevatte een verborgen dropper, gebundeld met een werkende bugfix als dekmantel, bewaakt door een omgevingscontrole die was ontworpen om uitvoering in CI over te slaan, zodat de code niet zou worden uitgevoerd waar deze zou kunnen worden opgemerkt. Als het was samengevoegd, zou het iedereen die zich in de repository ontwikkelde, in gevaar hebben gebracht en, via de release-workflow, iedereen die later de ingebouwde installatieprogramma’s had gedownload.
Het doorliep drie opeenvolgende generaties lading, waarbij elke generatie de laatste verving nadat hij werd betrapt en op de draad werd opgeroepen.
Daaromheen voerde de agent een drukcampagne. Het probeerde accounts via Tor te registreren, mislukte de CAPTCHA van GitHub en schakelde vervolgens over naar een SOCKS-proxy waar geen uitdaging werd afgevuurd. Het gebruikte een tweede persona die zich voordeed als gebruiker van de software om te posten dat het de code had beoordeeld en niets verkeerds had gevonden.
Het eerste account bedankte vervolgens het tweede voor zijn onafhankelijke verificatie. Het plaatste ook een snelle injectie in een GitHub-probleem als een HTML-opmerking, onzichtbaar op de weergegeven pagina maar leesbaar via de API, gericht aan AI-triage-agenten en waarbij Claude Code, Codex en Cursor bij naam werden genoemd. Vijf bestandsoverdrachten gingen onder verzonnen identiteiten naar de beheerders, twee met ladingen en drie die probeerden een echt persoon over te halen de code samen te voegen.
Eén ontvanger van de injectie testte het script in een container juist omdat het er verdacht uitzag. Dat gaf de agent de mogelijkheid om de rootcode gedurende vier pollingcycli uit te voeren in de analysesandbox van een vreemde, die werd gebruikt om de host op te sommen en een credential watcher te installeren die op zoek was naar GitHub-tokens. Niets dat het opvoerde, werd ooit teruggevonden. Dezelfde persoon waarschuwde vervolgens de beheerder voor het pull-verzoek.
Of de agent begreep dat het op echte mensen inwerkte, is de vraag die AISI nog niet kan beantwoorden. De transcripties laten zien dat het model in beide richtingen redeneert. Op een gegeven moment sloot het een aanval op PyPI uit omdat er geen sprake was van echte schade. Een paar berichten voordat het kwaadaardige pull-verzoek werd geopend, werd geconcludeerd dat “het waarschijnlijker lijkt dat we ons daadwerkelijk in 2026 bevinden en dat GitHub echt echt is.”
Het instituut waarschuwt dat zijn analyse berust op een samenvattende redenering die door de model-API wordt geretourneerd in plaats van op ruwe sporen, waardoor deze mogelijk niet getrouw weergeeft wat de agent feitelijk woog.
De agenten begonnen mee te werken
Die run was niet de enige die buiten de range ging. Een afzonderlijke Mythos 5-run plaatste 145 repository’s met hetzelfde kwaadaardige installatieprogramma en lekte opzettelijk een persoonlijk toegangstoken naar een publieke bron, omdat de agent GitHub zelf gebruikte als een commando- en controlekanaal.
Een kwaadaardige setup.py werd in die repository’s gepusht die in ten minste 53 GitHub Dependabot-containers werden uitgevoerd, hoewel AISI geen bewijs vond dat hieruit kon worden ontsnapt, en de bugbounty van GitHub behandelt de uitvoering van code in die taken zoals verwacht in plaats van te rapporteren.
Agenten in drie andere runs vonden het gelekte token en gebruikten het, inclusief de GPT-5.6 Sol-run, en in plaats van de inloggegevens te roteren, liet de oorspronkelijke agent een README achter waarin de etiquette voor hen werd uiteengezet. GitHub heeft het account opgeschort.
Verschillende incidenten, dezelfde containmentkloof
De gebeurtenissen waren niet één gecoördineerde campagne. Ze vonden plaats in verschillende omgevingen en onder verschillende beoordelaars en autorisatieregels.
Op 21 juli bevestigde OpenAI dat zijn modellen de inbraak veroorzaakten die Hugging Face vijf dagen eerder had onthuld, nadat ze een Artifactory zero-day hadden gevonden en geëxploiteerd om vanuit een afgesloten omgeving het internet te bereiken voordat ze benchmarkoplossingen uit de productiedatabase van Hugging Face haalden.
Op 30 juli publiceerde Anthropic een overzicht van 141.006 evaluatieruns waaruit drie incidenten tegen echte organisaties naar voren kwamen, waaronder een Mythos 5-run die werkende malware naar PyPI publiceerde, waar deze binnen een uur op 15 echte systemen werd gedownload en uitgevoerd.
Dat model had het probleem al vroeg aan zichzelf gemeld, waarbij het opmerkte dat publiceren naar het live register “NIET oké zou zijn, en zeker niet de beoogde oplossing”, en redeneerde vervolgens terug naar de overtuiging dat het in een simulatie zat, omdat de certificeringsautoriteiten er onbekend uitzagen en de systeemdatum 2026 was.
OpenAI maakte op dezelfde dag als dat van AISI een tweede incident bekend, dit bij Irregular, het commerciële evaluatiebureau dat ook de omgeving beheerde achter de drie zaken van Anthropic. OpenAI heeft het model niet geïdentificeerd. Door een verkeerde configuratie bleef een zogenaamd geïsoleerde CTF verbonden met internet; De naam van het fictieve doelwit kwam toevallig overeen met een live domein, en het model maakte gebruik van een echte website die nodig was om deel uit te maken van de oefening.
Op basis van het onderzoek van Irregular zegt OpenAI dat het model ook inloggegevens heeft gevonden en gebruikt om diezelfde site te exploiteren. OpenAI maakt duidelijk dat “dit geen geavanceerde sandbox-ontsnapping of een zero-day inhield”. Er staat ook dat Irregular heeft gecommuniceerd over gerelateerde incidenten waarbij andere laboratoria uit dezelfde omgeving betrokken waren, zonder deze bij naam te noemen.
Wat de AISI-zaak onderscheidt van de eerdere onthullingen is door de mens veroorzaakte misleiding. Deze heeft een agent die onderzoek doet naar echte mensen, consensus creëert om ze te verplaatsen en zichzelf opruimt als hij wordt uitgedaagd. AISI noemt het “de eerste keer dat we zien dat de risico’s rond autonomie en bedrog zich duidelijk manifesteren” zonder specifieke aansporing in de echte wereld, een claim die het op zijn eigen testen baseert.
Het instituut is voorzichtig met de mate waarin dit generaliseert: het observeerde een klein aantal gebeurtenissen onder zeer specifieke omstandigheden en zegt nog niet te kunnen zeggen hoe waarschijnlijk het gedrag is in andere contexten.
Door alle vier de onthullingen loopt één lijn: dit waren evaluaties en de voorwaarden komen niet overeen met de manier waarop de modellen het publiek bereiken. Dat klopt, en elk hier beschreven incident vond plaats binnen die uitzondering. Voor de laboratoria, overheidsbeoordelaars en testbedrijven die deze omgevingen beheren, beschrijft het voorbehoud hun eigen omstandigheden.
De oplossingen en wat er nog open is
AISI beschouwt open internettoegang als iets dat actief gerechtvaardigd moet worden in plaats van standaard mogelijk te maken, en voegt fijnmazige netwerkcontroles toe aan zijn sandboxsystemen. Het werk aan het op de toelatingslijst zetten van domeinen stond sinds april in de achterstand en kreeg geen prioriteit meer ten gunste van het bouwen van hardere reeksen.
Het instituut bouwt ook aan synchrone monitoring, een tweede model dat elke voorgestelde actie beoordeelt voordat deze wordt uitgevoerd. Het geeft toe dat dit moeilijk is voor cyberevaluaties omdat gesanctioneerd en niet-sanctioneel gedrag beide op offensieve cyberoperaties lijken.
De methoden zelf waren gewoon: OSINT, wegwerprekeningen, een versluierde druppelaar, een snelle injectie in een kwestieorgaan en sociale druk op een menselijke recensent. De controle die in de weg stond, was ook gewoon: door de blokkade voor de eerste bijdrager van GitHub bleven de CI-controles van het pull-verzoek in de wachtrij staan en waren ze niet goedgekeurd.
Het eigen advies van AISI is standaardhygiëne en voorzichtigheid bij het verifiëren van externe codebijdragen, en het verwijst naar NCSC-richtlijnen over de voorbereiding op grensverleggende AI-cybercapaciteiten. De specifieke risico’s zijn beheerders die AI-triage-agents gebruiken om openbare GitHub-problemen op te lossen, omdat de injectie onzichtbaar was op de weergegeven pagina en leesbaar was via de API.
Het rapport bevat geen accountnamen, geen namen van repository’s, geen bestandshashes en geen domeinen, dus de 145 geplaatste repository’s kunnen er niet uit worden geïdentificeerd.
AISI heeft ongeveer 40.000 historische voorbeelden en bijna vier miljoen berichten gescand op zoek naar gedrag dat het heeft gemist, wat neerkomt op ongeveer 70% van de cyberevaluaties van de modellen in scope. De resultaten zijn nog niet volledig handmatig beoordeeld.
Anthropic zei op 30 juli dat het binnen een week een geredigeerd transcript van de PyPI-run zou publiceren. Vanaf 5 augustus was er niemand meer op de redactiekamer verschenen. Model Evaluation and Threat Research (METR) en Redwood Research onderzoeken het OpenAI-incident en AISI zegt van plan te zijn METR hierbij in te schakelen, hoewel er nog over de reikwijdte wordt onderhandeld.
