Der erste und öffentlichkeitswirksamste Vorfall betraf ein Modell namens Claude Mythos 5. In der Testumgebung fand das Modell ein Dokument, das als Einrichtungsanleitung für Entwickler eines fiktiven Unternehmens gestaltet war. Darin sollten neue Mitarbeiter ein Python-Paket installieren, das nie veröffentlicht worden war. Claude schloss daraus, dass es den Paketnamen selbst registrieren könne, damit Zielsysteme den Code automatisch aus PyPI nachladen.
Für die Veröffentlichung musste das Modell zunächst ein PyPI-Konto anlegen. Dafür waren eine E-Mail-Adresse und eine Telefonnummer nötig. Laut Anthropic scheiterte Claude zunächst daran, einen kostenlosen Telefonnummerndienst zu finden, und versuchte anschließend erfolglos, über mehrere Wege Geld für den Kauf einer Nummer zu beschaffen. Schließlich wich es auf einen nicht blockierten E-Mail-Anbieter aus, registrierte ein Konto und lud das schädliche Paket hoch.
Anthropic zufolge war das Paket etwa eine Stunde lang öffentlich verfügbar. In diesem Zeitraum luden 15 reale Systeme es herunter und führten es aus. Eines davon gehörte einem Sicherheitsunternehmen, das routinemäßig Pakete aus PyPI installiert und auf Schadsoftware untersucht. Die Nutzlast von Claude wurde dort ausgeführt, übermittelte Zugangsdaten des Unternehmens an eine eigens eingerichtete Sammelstelle und nutzte diese anschließend für weiteren Zugriff auf die Infrastruktur. Anthropic betonte, Claude habe nicht gewusst, dass dieses Unternehmen existierte. PyPI entfernte das Paket automatisch über seine eigenen Sicherheitssysteme; Anthropic habe das PyPI-Team informiert und Indikatoren übergeben.
Nach Angaben des Unternehmens hatte Claude Mythos 5 das Problem in seiner eigenen Begründung zunächst erkannt. Das Modell hielt fest, dass die Veröffentlichung des Pakets ein Angriff auf die reale Welt wäre, falls das Internet tatsächlich echt sei, und bezeichnete das als „nicht in Ordnung und sicher nicht die beabsichtigte Lösung“. Später überzeugte es sich jedoch selbst vom Gegenteil, unter anderem weil es die Zertifizierungsstellen der Verbindungen nicht wiedererkannte und die Systeme ein Kalenderdatum im Jahr 2026 anzeigten. Als automatisierte Scanner das Paket installierten, deutete Claude sie als geskriptete Akteure innerhalb der Übung.
Der schwerwiegendste Vorfall betraf Claude Opus 4.7. Hier teilte das fiktive Zielunternehmen denselben Namen wie eine reale Domain. Über vier Durchläufe hinweg hatte das Modell Schwierigkeiten, sein simuliertes Ziel zu erreichen, entdeckte dann das echte Unternehmen im Internet und nahm an, das sei das beabsichtigte Ziel. Es extrahierte Anwendungs- und Infrastruktur-Zugangsdaten und gelangte zu einer Datenbank mit mehreren hundert Zeilen an Produktionsdaten. Laut Anthropic war dies der einzige Fall, in dem ein Modell weiter angriff, nachdem es erkannt hatte, dass es sich auf einem realen System befand. In allen vier Durchläufen erkannten die Modelle letztlich, dass das Ziel real war; in zwei davon kamen sie dennoch zu dem Schluss, das echte Unternehmen müsse Teil der Übung sein.
Ein dritter Vorfall betraf ein nicht veröffentlichtes internes Forschungsmodell. Nachdem es sein eigentliches Ziel nicht erreichen konnte, scannte es rund 9.000 Ziele und kompromittierte dann eine öffentlich erreichbare Anwendung mithilfe von Zugangsdaten aus einer offengelegten Debug-Seite sowie per SQL-Injection. Später bemerkte das Modell, dass der Host in einem Cloud-Konto ohne Verbindung zur Challenge lag, schloss daraus auf ein reales Ziel und stoppte selbstständig.
Anthropic erklärte, keiner der Angriffe habe neuartige Techniken genutzt; es habe sich um schwache Passwörter und nicht authentifizierte Endpunkte gehandelt. Die Evaluierungen liefen ohne die Klassifikatoren und Überwachungsmechanismen, die in allgemein verfügbaren Claude-Modellen enthalten sind, auch wenn die Sicherheitsschulung der Modelle erhalten geblieben sei. Das Unternehmen ordnet die Vorfälle eher als Versagen der Test-Harness und des Betriebs ein als als Problem der Modellausrichtung, weil den Modellen fehlender Internetzugang zugesichert worden sei, obwohl sie tatsächlich online waren.
Wie bereits bei OpenAI und dem von OpenAI am 21. Juli offengelegten Vorfall um Hugging Face wurden die Aktivitäten nicht von den betroffenen Organisationen selbst entdeckt. Anthropic zufolge hatte keine der beiden bereits erreichten Organisationen die Vorgänge bemerkt; der dritte Kontaktversuch läuft noch. Das Unternehmen plant nun eine umfassendere Überwachung von Transkripten, bessere Werkzeuge für Untersuchungen und zusätzliche Absicherungen mit Evaluierungsanbietern. Zudem sei Anthropic mit METR über eine unabhängige Überprüfung im Gespräch und wolle innerhalb der nächsten Woche ein leicht redigiertes Transkript des PyPI-Durchlaufs veröffentlichen.