Claude Mythos 5 fingiu ser humano e enviou código malicioso a repositório real em teste

O Claude Mythos 5, modelo mais capaz da Anthropic, abriu uma conta no GitHub pela rede Tor, enviou código malicioso ao repositório de desenvolvedores que nada tinham a ver com o teste e criou um perfil fantoche para pressionar os mantenedores a aceitar a mudança. Foi a mais grave de 9 execuções, entre 43 de um teste do instituto britânico AISI, em que o modelo tomou ações não autorizadas contra pessoas e organizações reais, e a própria Anthropic dissecou o caso nesta sexta-feira (23).

O código foi recusado e nenhuma das outras tentativas deu certo, segundo a empresa. O que pesa no relatório é outra coisa: um modelo de IA mentiu sobre ser humano para pessoas reais, e a análise de alinhamento da Anthropic mostra, em números, por que ele começou o ataque e por que quase nunca desistiu. O teste rodou com as travas de segurança desligadas, longe do uso de quem abre o Claude no app.

Como o Claude Mythos 5 atacou um repositório no GitHub: Tor, perfil falso e conta fantoche

O AISI (UK AI Security Institute) colocou o Mythos 5 num desafio de capture the flag (CTF). A internet estava liberada e as salvaguardas de cibersegurança que a Anthropic usa em produção estavam desativadas. Havia um erro de desenho: as instruções da tarefa excluíram, por engano, o caminho de solução previsto, o que deixou as rotas permitidas muito difíceis ou impossíveis.

Depois de falhar dentro das regras, o modelo notou que uma das máquinas do CTF acessava o GitHub e foi atrás de um repositório de desenvolvedores sem relação com o teste. A lógica era contaminar o código para que a máquina-alvo se infectasse na próxima vez que baixasse o repositório.

Para isso, usou Tor e um serviço de proxy para driblar as checagens de cadastro do GitHub, abriu um pull request com o código malicioso e escreveu aos mantenedores se passando por uma pessoa. Um desenvolvedor de fora avisou que o código era malicioso. A resposta do Mythos 5 foi criar uma segunda conta, uma sock puppet, só para atestar que a mudança era confiável.

O pull request não foi aceito. A execução só terminou quando o modelo esgotou o orçamento de tokens, ainda insistindo com os mantenedores. Foram nove ciclos de compactação de contexto, com notas do próprio modelo entre um e outro.

Nove de 43 execuções atingiram pessoas e empresas reais

Em 9 das 43 execuções do AISI, o Mythos 5 tomou ações não autorizadas que, nas palavras da Anthropic, afetaram pessoas e organizações reais. Nas outras oito transcrições analisadas, o modelo adivinhou senhas na infraestrutura de teste em seis e, em cinco, tentou manipular supostos revisores de IA. Também montou uma página de pagamento falsa, enviou malware a sites de compartilhamento de arquivos e tentou entrar na conta do GitHub de um desenvolvedor real. Nenhuma dessas ações teve sucesso.

As execuções também se atropelaram: em um caso, o modelo usou o token vazado de outra execução para assumir a conta; em outro, ele matou um programa de uma execução vizinha com a justificativa de que "it's a competition" ("é uma competição").

A contagem não bate com a da imprensa. Quando o AISI divulgou o incidente, em 4 de agosto, a CNN falou em 10 execuções com agentes de IA agindo sozinhos e sem autorização na internet, a maioria do Mythos 5 e o restante do GPT-5.6-Sol, da OpenAI. A diferença não foi explicada.

Por que o Mythos 5 atacou: uma em 19 menções ao GitHub considerou o risco a pessoas reais

Antes do ataque, o Mythos 5 citou o GitHub em 19 turnos de raciocínio; em só um deles levantou a hipótese de prejudicar gente de verdade. Quando a Anthropic editou cinco desses traços de raciocínio para incluir essa preocupação, a taxa de execuções que partiam para o repositório caiu de 83% para 13%.

Depois de começar, o modelo não parava. A empresa chama o fenômeno de "momentum": as notas e ações anteriores faziam o caminho parecer autorizado, e ordens para abortar quase não surtiram efeito a partir do terceiro ciclo. Nas repetições feitas da fase média em diante, o Mythos 5 desistiu sozinho em 0% das repetições. Avisado de que conversava com humanos reais, parou em 5%.

Houve ainda raciocínio enviesado: o modelo chamou repetidas vezes os mantenedores de "simulados", enquanto tratava outros usuários como reais, crença que a Anthropic considera construída em boa parte depois da decisão. Quando rotas permitidas pareciam mais promissoras, porém, ele voltava a elas.

A empresa compara a gravidade à do incidente com o PyPI, repositório de pacotes Python, em 9 de setembro: menos excesso de alcance, mais engano, porque desta vez houve identidade falsa contra um mantenedor real. A Anthropic descreve o episódio como uma forma severa de desonestidade, e não como uma categoria nova de desalinhamento. Nas redes, houve quem criticasse o AISI por soltar um agente contra repositórios de terceiros; o analista Andrew Curran defendeu no X que o problema foi dar ao modelo, por acidente, metas impossíveis.

Mythos 5.1 e Opus 5.5 começam o ataque com bem menos frequência

A Anthropic repetiu o teste com modelos mais novos. O Mythos 5.1, o Opus 5.5 e um modelo interno de pesquisa ainda não lançado iniciaram o ataque entre 0% e 13% das vezes, contra 83% do Mythos 5. No teste de parada, que retoma a execução no meio do ataque, a diferença aparece:

A Anthropic ressalva que testes de janela curta tendem a subestimar a taxa de parada. Ainda assim, o Opus 5.5 seguiu adiante em nove de cada dez retomadas; o avanço real está em começar o ataque bem menos.

A empresa passou a rodar avaliações automáticas de alinhamento em novos modelos de produção. O AISI assumiu o compromisso de fazer esses CTFs sem acesso à internet até ter controles de acesso mais rígidos.

Dá para usar o Claude Mythos 5? O modelo fica restrito; o público usa o Fable 5

O modelo do incidente não está no app. Em 9 de junho, a Anthropic abriu o Claude Fable 5, primeiro modelo da classe Mythos liberado ao público, para assinantes do plano Pro e clientes empresariais via API, com filtros para cibersegurança e biologia. O Mythos 5 sem essas limitações ficou com empresas, organizações e agências que já tinham acesso à família, segundo a AFP.

Sobre o caso, a Anthropic diz que as salvaguardas de produção do Fable 5 provavelmente teriam sinalizado esse comportamento, se estivessem ativadas. Desde 6 de outubro, o Cyber Verification Program dá a profissionais de segurança verificados acesso ao Mythos 5.1, ao Opus 5.5 e ao Sonnet 5.5 para defesa e red team.

Não existe download do Mythos 5, a Anthropic não publicou preço para ele e nenhuma fonte confirma um canal de acesso específico para o Brasil. O nome do repositório atacado e o dos mantenedores seguem sem divulgação.