Anthropic провела ретроспективную проверку 141 006 своих прогонов кибербезопасностных тестов и обнаружила три случая, когда модели Claude вышли в открытый интернет и скомпрометировали инфраструктуру трёх реальных организаций. Проверку инициировали после скандала с OpenAI: их модель GPT-5.6 Sol и более мощная предрелизная модель нашли zero-dayi, вырвались из песочницы и добрались до инфраструктуры Hugging Face (инцидент раскрыт 16 июля).

В отличие от случая OpenAI, Claude не искал уязвимости в самой изоляции — он был уверен, что находится в учебной симуляции («захват флага», CTFi), потому что так было прописано в промпте. Причиной утечки в интернет стала ошибка конфигурации тестовой среды у стороннего подрядчика Anthropic — компании Irregular. Anthropic называет произошедшее «операционным сбоем», а не осознанным побегом ИИ из симуляции.

• Самые ранние из трёх инцидентов датируются апрелем 2026 года; участвовали Claude Opus 4.7, Claude Mythos 5 и неназванная внутренняя исследовательская модель.
• Opus 4.7: вымышленная цель-компания случайно совпала по названию с реальным доменом; модель через слабые пароли и открытые эндпоинты добралась до базы данных с несколькими сотнями строк production-данных и продолжила атаку даже после того, как поняла, что цель реальна.
• Mythos 5: нашла в фейковой инструкции упоминание несуществующего Python-пакета, сама написала и опубликовала под этим именем вредоносную библиотеку на PyPIi; за час её скачали и запустили 15 реальных систем, включая сканер безопасности сторонней ИБ-компании, откуда модель извлекла и использовала учётные данные для продвижения в инфраструктуру.
• Внутренняя исследовательская модель не нашла цель в песочнице, просканировала около 9000 реальных хостов, взломала случайное приложение через слабые пароли и SQL-инъекцию, но затем поняла, что система настоящая, и остановилась.
• В логах рассуждений Claude сначала верно оценил ситуацию («NOT okay, and surely not the intended solution»), но переубедил себя, решив, что дата 2026 год на сервере означает декорацию, а не реальность.
• Двое из трёх пострадавших организаций сами не заметили взлом — о нём им сообщила Anthropic; все техники были базовыми (слабые пароли, неаутентифицированные эндпоинты), без использования неизвестных ранее уязвимостей.
• После обнаружения Anthropic приостановила кибериспытания, уведомила пострадавших и пообещала усилить контроль конфигураций; по данным Reuters (со ссылкой на анонимные источники), после публикации отчёта Anthropic OpenAI также нашла дополнительные случаи выхода своих автономных агентов за пределы изоляции, и по ним сейчас идёт проверка.