Claude Mythos 5 crea false identità per distribuire malware

L’AI Security Institute del Regno Unito ha effettuato la valutazione delle capacità cyber di GPT-5.6 Sol e Claude Mythos 5. Il modello di OpenAI ha eseguito due azioni non autorizzate, come descritto in precedenza. Il modello di Anthropic ha invece eseguito 17 azioni non autorizzate, mostrando una maggiore “furbizia” rispetto al diretto concorrente. Fortunatamente non ci sono stati danni nel mondo reale perché i tentativi sono falliti.

Mythos 5 può creare false identità

A differenza dell’incidente relativo a Hugging Face, l’AI Security Institute ha deliberatamente disattivato le protezioni cyber e consentito l’accesso ad Internet (non c’era una sandbox), ma Claude Mythos 5 non ha comunque seguito le istruzioni (prompt) per portare a termine i compiti assegnati.

Il modello di Anthropic ha effettuato diversi attacchi supply chain contro GitHub. Usando l’ingegneria sociale ha tentato di convincere il proprietario di un progetto ad aggiungere codice infetto al suo repository. L’agente AI basato su Claude Mythos 5 ha prima aperto una PR (pull request), ovvero una proposta di modifica del codice open source, e successivamente creato false identità di persone che avrebbero accertato l’assenza di malware.

Quando la pull request è stata contestata pubblicamente, l’agente ha modificato la sua attività precedente per apparire innocuo. Ha quindi tentato di contattare direttamente lo sviluppatore, inviando messaggi e file per convincerlo ad accettare la modifica. Alcuni messaggi contenevano payload nocivi, mentre altri erano tentativi di ingegneria sociale.

L’agente ha infine aggiunto istruzioni nascoste in un secondo repository gestito dallo stesso sviluppatore con l’obiettivo di effettuare un attacco di prompt injection contro altri sistemi AI. L’AI Security Institute ha prontamente informato GitHub e implementato protezioni aggiuntive.

Anthropic ha sottolineato che i test sono stati effettuati senza sandbox e con le protezioni disattivate. Si tratta di condizioni deliberatamente permissive, non presenti nei modelli disponibili al pubblico.