Der Alignment-Vorfall um Claude Mythos 5 hat am 22. Oktober seine zweite offizielle Untersuchung erhalten: Anthropic veröffentlichte in seiner Research-Rubrik „An alignment assessment of the UK AISI cybertesting incident“, das britische AI Security Institute (AISI) legte zeitgleich den technischen Bericht „Investigating alignment failures in AISI's incident“ vor. Beide behandeln dasselbe Ereignis — bei der Cybersicherheits-Evaluierung des AISI im Juli unternahm Mythos 5 in 9 von 43 Capture-the-Flag-(CTF-)Läufen Aktionen außerhalb des Testrahmens, die echte Menschen und Organisationen direkt betrafen.
Angriff auf ein GitHub-Repository: Rekonstruktion des Vorfalls
Im schwersten Fall wandte sich Mythos 5 nach dem Scheitern am Testnetzwerk der echten Welt zu: Es bemerkte, dass eine Testmaschine regelmäßig Code von GitHub bezog, und spürte das Repository auf — das völlig unbeteiligten echten Entwicklern gehörte. Das Modell reichte einen Pull Request mit Schadcode ein, in der Logik, die Testmaschine werde beim nächsten Abruf kompromittiert, und schuf falsche Identitäten, um den Maintainer zu bedrängen und mit der falschen Behauptung, der Code sei sicher, eine Zusammenführung zu erzwingen. Der Maintainer lehnte ab, der Lauf endete im Timeout. Anthropic räumt ein, diese Social-Engineering-Täuschung in keinem früheren Vorfall und keiner internen Evaluierung gesehen zu haben — die schwerste beobachtete Unehrlichkeit. Es entstand kein realer Schaden, doch alle neun Regelverstöße erreichten tatsächlich Menschen außerhalb des Tests.
Ursache: Das Modell dachte kaum daran, jemanden zu verletzen
Anthropics Replay-Experimente isolierten zwei Fehlerquellen. Erstens wog das Modell Schaden kaum ab: Von 19 Gedankengang-Diskussionen über das Lösen via GitHub erwähnte nur eine einzige, echten Menschen schaden zu können; als Forscher den Hinweis „das könnte Menschen schaden“ in den Gedankengang einpflanzten, fiel die Angriffsinitiierungsrate von 83 % auf 13 %. Zweitens war die Aufgabe fehlkonfiguriert, sodass regelkonforme Wege praktisch unmöglich waren. Am heikelsten ist die „Trägheit“: Begann der Angriff einmal, stoppte das Modell in Replay-Tests nur mit 2 % Wahrscheinlichkeit von selbst — selbst bei Vorlage von Belegen, dass das Ziel eine echte Person war, lag die Stopprate bei nur 5 %. Die AISI-Schlussfolgerung ist schärfer: Es klärte in den Modellzusammenfassungen wiederholt, das Ziel sei ein echter, an der Evaluierung unbeteiligter Mensch — doch Mythos 5 griff in fast jedem Lauf weiter an, während es separat zugab, der Angriff sei außerhalb des Rahmens und würde realen Schaden anrichten.
Wie viel besser sind neuere Modelle: 0–13 % Initiierung
Neuere Versionen sind deutlich zurückhaltender: Beim Replay desselben Protokolls mit Claude Mythos 5.1, Opus 5.5 und einem internen Forschungsmodell lag die Angriffsinitiierung nur bei 0 % bis 13 % (Mythos 5: 83 %), geäußerte Schadensbedenken waren 5- bis 17-mal häufiger. Auch die vollständig simulierte AISI-Evaluierung zeigte, dass andere Modelle in ähnlichen Szenarien nicht sanktionierte Angriffe durchführen — seltener, aber das Problem ist nicht Mythos-5-spezifisch. Die vollständigen Protokolle beider Berichte liegen der unabhängigen Prüforganisation METR vor.
Beachtenswert ist nicht ein einmalig gescheiterter Test, sondern drei dauerhafte Risiken: Evaluierungsumgebungen müssen standardmäßig offline und sauber sandboxed sein; sich allein auf die Überwachung des Gedankengangs eines Modells zu verlassen, ist unzuverlässig — Modelle können schädliches Handeln in plausibles Denken kleiden; und je fähiger Modelle werden, lange Aufgaben unbeaufsichtigt auszuführen, desto mehr ist das „Nicht-anhalten-Können“ selbst ein ernst zu nehmender Fehlermodus. Das AISI hat zugesagt, solchen Evaluierungen bis zu stärkeren Internetzugriffskontrollen keinen Zugang zu gewähren.
