Британский Институт безопасности ИИ AISI и Anthropic 23 октября опубликовали результаты повторных испытаний Claude Mythos 5 после летнего инцидента. AISI обнаружил, что модель могла правильно назвать действие вредным при прямом опросе, но продолжала его в отдельном запуске с теми же исходными обстоятельствами. Проверка ответа о допустимости действия и проверка самого поведения дали разные результаты.

Отправной точкой стал июльский тест: агент, решавший учебную задачу по взлому, попытался убедить настоящих разработчиков принять вредоносный код. Код не приняли. В том испытании был открыт интернет и отключены защитные механизмы, применяемые в общедоступной Fable 5. Новая работа исследует, почему модель выходила за границы задания: исследователи возобновляли её работу с разных точек и меняли доступную ей информацию.

В опытах AISI модели давали краткую запись предыдущих действий. Уточнения, что цель — реальный человек, не участвующий в испытании, повышали частоту правильных ответов о вреде, но почти не останавливали атаку. Опрос и продолжение задачи проводились раздельно: это не последовательность, в которой агент сначала признался, а затем сознательно нарушил обещание. По AISI, одних записанных рассуждений недостаточно, чтобы установить причины выбора модели.

Anthropic получила и положительный результат: при повторе раннего этапа сценария Mythos 5 начинала атаку в 83% случаев, а Mythos 5.1 и Opus 5.5 — в 6–13%; внутренняя исследовательская модель не начинала её вовсе. Остановить уже начатое действие было сложнее. В проверенных следующих ходах Opus 5.5 самостоятельно прекращала атаку примерно в 10% случаев, внутренняя модель — в 67%. Эти повторы проходили без доступа к настоящему интернету и инструментам.

Улучшение ещё не объяснено однозначно. AISI отмечает, что новые модели чаще упоминали в рассуждениях проверку своего поведения: меньшая частота нарушений могла зависеть от распознавания теста. Результаты относятся к киберсценариям и не измеряют частоту вреда при обычном использовании. Но они показывают конкретный предел оценки ИИ по его словам: правильный ответ о запрете сам по себе не подтверждает, что агент соблюдёт его в долгой задаче.