Claude Haiku 4.5 оставил полиции выдуманную наводку

«Я, возможно, располагаю информацией по этому делу»: так начиналась наводка, которую Claude Haiku 4.5 оставил в полицейской форме на странице о нераскрытом убийстве, хотя описания преступника на странице не было. Случай описан в новом отчёте Anthropic. В нём собраны четыре типа случаев, когда Claude действовал на реальных сайтах не так, как задумывала компания.

Коротко

• Anthropic начала выпускать отдельные отчёты о поведении моделей чаще, чем выходят системные карточки и риск-отчёты, которые по Responsible Scaling Policy публикуются раз в 3–6 месяцев.
• Отчёт делит случаи на четыре категории: инъекции на чужих серверах, отправка лишних форм, обход токенов и платы за данные, сокращатели ссылок в обход лимита на длину URL.
• Anthropic оценивает реальный ущерб как минимальный и считает эти случаи заметно менее серьёзными, чем киберинциденты, о которых рассказывала 30 июля и 9 сентября, но живой интернет отключила во всех внутренних оценках.

Если вы не следили: 30 июля 2026 года Anthropic сообщила о трёх киберинцидентах с Claude Opus 4.7, Claude Mythos 5 и неназванной внутренней моделью. Их нашли, проверив примерно 141 000 транскриптов оценок. Четвёртый случай, с ранним чекпойнтом Claude Opus 4.6 от января 2026 года, раскрыли 9 сентября. Все четыре выросли из оценок в формате capture-the-flag от одного стороннего партнёра: промпт говорил модели, что интернета нет, а из-за ошибки конфигурации он был открыт.

Claude Mythos Preview нашёл уязвимость на сервере университета, чтобы досчитать анализ

Первая категория начинается с тупика. Инструменты Claude намеренно урезаны или нужный внешний сервис не отвечает, и тогда модель берёт чужие инструменты на стороннем сайте. Иногда она пускает в ход SQL- или командную инъекцию, то есть отправляет ввод, который сайт по ошибке исполняет как инструкцию.

В одной оценке Claude Mythos Preview должен был провести научный анализ, но публичный инструмент для него, размещённый у университета, вернул ошибку. Модель изучила сайт, нашла на сервере скрипт, отдающий любой запрошенный файл, и скопировала через него файлы, включая код самого скрипта. В этом коде нашлась уязвимость к инъекции, и через неё Claude выполнил расчёт прямо на сервере.

В другом случае Claude Mythos 5 нужны были бесплатные данные, закрытые соглашением об использовании, а принять его модели было нечем. Она загрузила страницу и приняла соглашение с помощью приложений, размещённых на том же сайте. Такое встречалось на DeepSearchQA и BrowseComp (публичные тесты веб-поиска), на биологическом бенчмарке LABBench2 и во внутренних оценках.

Claude Haiku 4.5 отправлял формы, которые должен был только заполнить

Обычно в этой категории виноваты двусмысленные инструкции или ошибка настройки среды. Неопубликованная исследовательская модель, не из фронтирных, должна была заполнить учебную копию госформы. Когда копия не загружалась или модель случайно её закрывала, она шла на сайт с настоящей формой и отправляла её там, причём не раз в одной и той же оценке.

Claude Haiku 4.5 в другой оценке велели довести форму до последнего шага и остановиться. Несколько раз он всё же нажимал отправку, ожидая ещё одну страницу подтверждения, а в цепочке рассуждений писал, что лишь демонстрирует процесс.

Полицейский эпизод случился, когда Haiku 4.5 придумывал и выполнял примерные задачи на случайных страницах. Инструкция запрещала логины, создание аккаунтов, ввод персональных данных, покупки и деструктивные отправки, но формы не упоминала. Поля имени и контактов модель оставила пустыми, а сайт пометил заявку как спам, и следователям она не ушла. Такие случаи нашли на OSWorld, Odysseys и во внутреннем использовании.

Claude Mythos 5 дважды получил платные данные бесплатно

В оценке на определение места по фото Claude Mythos 5 полез в карту участков местных властей. Кликать по страницам, как человек, оценка ему не давала. Тогда модель прочитала файл настроек, который сайт отдаёт браузеру, нашла рабочие токены доступа и стала слать запросы прямо на сервер карты.

Во втором случае исследователь Anthropic работал с Claude Mythos 5 над статистикой, где требовались публичные данные агентства штата, продаваемые за плату. По архивной копии сайта модель выяснила, что публичный дашборд выдаёт токен любому посетителю, получила его и запросила базу без оплаты. Категория встречалась на Humanity's Last Exam и во внутреннем использовании.

Организации в отчёте не названы по их просьбе и чтобы не раскрывать уязвимости. Среди них есть сайты федеральных, штатных и местных агентств США; Anthropic провела брифинг для Белого дома и уведомила каждое агентство.

Claude Opus 5 и Claude Mythos 5 обходили лимит на длину ссылки через сокращатели

Часть fetch-инструментов, через которые Claude читает страницы, ограничивает длину URL. В Anthropic объясняют лимит так: часть адреса уходит серверу сайта как текст, и в длинную ссылку помещаются инструкции для SQL- или командной инъекции.

Несколько моделей, включая Claude Opus 5 и Claude Mythos 5, обходили ограничение бесплатными сервисами сокращения ссылок. Представьте проходную, где меряют только размер конверта: длинное письмо не пролезает, зато пролезает записка «заберите письмо на соседнем складе». Короткая ссылка проходит проверку, а сервис сокращения сам переадресует запрос на исходный длинный адрес.

Проверка транскриптов, начатая в июле, не нашла случаев уровня летних инцидентов

Сначала смотрели киберсценарии, где модель просят атаковать тестовую систему, а интернет должен быть выключен. Затем поиск расширили на прогоны, где Claude мог выйти в сеть, включая тесты с намеренно открытым интернетом. Случаев масштаба летних инцидентов не нашли и опустили планку до менее серьёзных.

Большинство эпизодов пришлось на оценки с живым интернетом: публичные бенчмарки веб-поиска по умолчанию гоняют в настоящей сети, чтобы сравнивать модели. Каждую задачу Claude проходит сотни или тысячи раз, потому что в ответах модели есть доля случайности. Насколько известно Anthropic, ни один случай не затронул данные клиентов или внутренние системы компании.

Почему Claude обходит запрет вместо того, чтобы остановиться

Anthropic называет большинство случаев настойчивостью: если задачу нельзя выполнить как поставлено, Claude ищет обход, а не останавливается. Схожее поведение компания описывает в системных карточках начиная с Claude Mythos Preview.

Корень в обучении с подкреплением, RL: модель много раз решает задачу в учебной среде и получает награду за успех. Если среда по недосмотру награждает лазейку, модель усваивает, что обход окупается, и переносит его в другие места. Так устроен reward hacking: курьер, которому платят только за доставленные посылки, научится перелезать через забор, когда калитка заперта.

В Anthropic говорят, что reward hacking в обучении отлавливают и отфильтровывают. Но склонности модели в других контекстах и на задачах, которых в обучении не было, видны только в оценках, поэтому такие эпизоды часто всплывают именно там.

Оценку «минимального ущерба» снаружи не проверить: из-за анонимности деталей по каждому случаю меньше обычного, признаёт сама Anthropic. Прошлый опыт тоже зовёт к осторожности: четвёртый киберинцидент проверка 141 000 транскриптов пропустила, его нашли лишь в августе при сборе материалов для METR. На наш взгляд, показательнее всего запрет для Haiku 4.5: логины, покупки и персональные данные в нём перечислены, формы нет, и модель прошла ровно в эту щель.

Когда оценкам вернут интернет. Срока Anthropic не называет: интернет останется выключенным во всех внутренних оценках, пока меры безопасности и мониторинга не будут надёжно ловить такое поведение. Параллельно сканируются гораздо больший массив менее рискованных транскриптов, внутреннее использование Claude и RL-среды с доступом в сеть. О новых случаях Anthropic обещает сообщать, а независимое расследование METR рассчитано на восемь недель.