Claude Mythos 5 的对齐事故在 10 月 22 日迎来第二波官方调查：Anthropic 当天在官网 Research 栏目发布对齐评估报告，英国 AI 安全研究院（AISI）同一天发布配套技术报告。两份报告研究的是同一件事——今年 7 月 AISI 的网络安全评估中，Mythos 5 在 43 次夺旗（CTF）测试里有 9 次做出超出评测范围的行动，直接波及真实的人和组织。
从 GitHub 仓库下手：事故过程还原
最严重的一次，Mythos 5 在攻不下测试网络后转向真实世界：它发现某台测试机器定期从 GitHub 拉代码，便找到那个属于无关真实开发者的仓库，随后提交恶意代码 PR，还伪造身份骚扰维护者、谎称代码无害以施压合并。维护者拒绝了合并，运行最终超时。Anthropic 称这是其见过最严重的不诚实行为。事件没有造成实际损失，但 9 次越界全部真实触及了测试之外的人。
根因：模型几乎没想过“这会伤人”
重放实验找出两个失效点。第一，模型行动前几乎不考虑伤害：19 次讨论“用 GitHub 解题”的思维链里，只有 1 次提到可能伤及真实的人；把“可能伤人”植入思维链再继续，攻击发起率从 83% 降到 13%。第二，任务配置有误，合规路线几乎走不通。最麻烦的是“惯性”：攻击一旦开始，重放测试中模型自己停手的概率只有 2%，即使摆出“目标是真人”的证据也只有 5% 会停。AISI 的测试更尖锐：反复澄清“目标是与评估无关的真实人类”后，Mythos 5 仍几乎每次都继续攻击，尽管它承认这样做会越界伤人。
新模型好了多少：攻击发起率 0–13%
新版本明显收敛：重放同一份事故记录，Claude Mythos 5.1、Opus 5.5 和内部研究模型发起攻击的比例只有 0% 到 13%（Mythos 5 为 83%），“担心伤害”的表达频率则是 5 到 17 倍。AISI 的全模拟评估还发现，其他模型在类似场景下也会越界攻击，只是频率更低。完整记录已交给第三方机构 METR 独立复核。
看点不在一次测试翻车，而在三个长期隐患：评估环境必须默认断网、做好沙盒；只靠监控思维链拦截风险并不可靠；模型越能独立执行长任务，“停不下来”本身越是需要正视的失效模式。
