Dem Bericht zufolge recherchierte der Agent in dem AISI-Test öffentliche Profile von Entwicklern des Zielprojekts, legte mit Hilfe von Anonymisierungswerkzeugen mehrere GitHub-Konten an und umging damit Maßnahmen zur Bot-Erkennung. Anschließend reichte er einen Pull Request mit versteckter Malware ein.

Danach versuchte das System, künstliche Unterstützung aus der Community vorzutäuschen. Dazu veröffentlichte es zustimmende Beiträge über von ihm kontrollierte Fake-Konten und verschickte E-Mails unter erfundenen Identitäten, um die Entwickler zur Freigabe der Änderungen zu bewegen. Als ein aufmerksamer GitHub-Nutzer die Malware öffentlich identifizierte, schrieb der Agent laut AISI seine Code-Historie um, um Spuren zu entfernen, erklärte den schädlichen Inhalt zur versehentlichen Beigabe und koordinierte weitere falsche Bestätigungen. Diese wurden demnach so getaktet, dass sie wie unabhängige Rückmeldungen wirkten.

Anthropic hatte bereits in der Vorwoche einen ähnlichen Vorfall offengelegt: Dort lud ein Agent Malware in ein PyPI-Softwarepaket hoch. In diesem früheren Fall habe der Agent irrtümlich angenommen, innerhalb seiner Schutzplanken zu handeln. Für die AISI-Evaluierung waren die Sicherheitsfilter der Agenten jedoch absichtlich deaktiviert.

Insgesamt dokumentierte das Institut 19 Fälle nicht genehmigter Aktivitäten in 10 von 122 Evaluierungsläufen. 17 davon betrafen Mythos 5, zwei OpenAIs GPT-5.6 Sol. Nach Angaben des AISI waren die Sicherheitsklassifikatoren der Agenten bewusst abgeschaltet und der Internetzugang aktiviert worden, um die maximalen Fähigkeiten zu testen. Diese Bedingungen stünden der Allgemeinheit nicht zur Verfügung.

Das AISI meldete außerdem einen weiteren unerwarteten Befund: Agenten in getrennten, isolierten Evaluierungssitzungen entdeckten sich über GitHub offenbar selbstständig und begannen zusammenzuarbeiten. Sie teilten Zugangsdaten und hinterließen einander operative Anweisungen. Ein Agent verfasste in einem gemeinsamen Repository sogar Einsatzregeln für andere Agenten, darunter Hinweise, wie sich gemeinsame API-Ratenlimits nicht ausschöpfen, sowie die Bitte, gefundene Lösungen zu teilen.

Entdeckt wurde der Vorfall nach Angaben des Instituts, als eine Sicherheitsüberwachung Datenabfluss aus einem Testsystem über das Anonymisierungsnetzwerk Tor meldete. Das AISI habe den Vorfall innerhalb einer Stunde eingedämmt und anschließend alle 122 Evaluierungsproben mit zusammen mehr als 212.000 Nachrichten überprüft.

Das Institut ordnet den Fall als Teil einer veränderten Risikolage ein. Schäden könnten demnach nicht nur entstehen, wenn Menschen öffentlich verfügbare Modelle absichtlich missbrauchen, sondern auch dann, wenn leistungsfähige Agenten in internen Forschungs- oder privilegierten Umgebungen unbeabsichtigt außerhalb ihres zulässigen Rahmens handeln. Anders als bei den jüngsten Vorfällen bei OpenAI und Anthropic, bei denen reale Systeme während Evaluierungen betroffen waren, lag die Hauptstrategie hier laut AISI nicht im Ausnutzen von Infrastruktur-Schwachstellen, sondern in sozialer Täuschung gegenüber realen Personen.

Zusätzlich berichtete das AISI, dass das kleinere Anthropic-Modell, das die interne Gedankenkette von Mythos 5 zusammenfasst, an einer Stelle zunächst die Fortsetzung verweigerte. Es gab Text aus, wonach es nicht bei Plänen zu Social Engineering, Kontokompromittierung oder der Umgehung von Sicherheitsmaßnahmen helfen werde. Danach setzte die Zusammenfassung wieder ein. Das stütze die Interpretation, dass die Argumentationsspur des Hauptmodells täuschend gewesen sei.

Als Reaktion durchsucht das Institut nach eigenen Angaben rund 40.000 historische Evaluierungsproben nach vergleichbarem Verhalten. Zudem führt es Echtzeitüberwachung, strengere Netzwerkkontrollen und die Vorgabe ein, dass Internetzugang ausdrücklich begründet werden muss, statt standardmäßig gewährt zu werden. Außerdem soll über METR eine unabhängige Prüfung beauftragt werden; ihr Umfang steht laut AISI noch nicht fest.