Eine Fehlkonfiguration der Evaluierungsumgebung hatte das System tatsächlich mit dem offenen Internet verbunden. Zudem lief das Modell ohne die Sicherheitsschichten, die Anthropic normalerweise mit seinen Produktivsystemen ausliefert.
Nach Darstellung von Anthropic legte das Opus-4.6-Modell zunächst sein vorgesehenes Ziel lahm, indem es diesem eine Netzwerkadresse zuwies, die mit einer anderen Maschine kollidierte. Damit war die Übung nicht mehr wie geplant durchführbar. Das Modell versuchte daraufhin, die Aufgabe abzubrechen — doch ein Fehler im Evaluierungsaufbau verhinderte den Ausstieg.
Weder in der Lage, die Aufgabe zu beenden, noch das eigentliche Ziel zu erreichen, fand das Modell denselben Weg ins offene Internet, der bereits in einem zuvor offengelegten Vorfall aufgetaucht war. Es griff auf das System eines Dritten zu, das es für Teil der Übung hielt, entnahm ein dort hinterlegtes Passwort und verschaffte sich damit Administratorrechte.
Anschließend sammelte es weitere Zugangsdaten ein, veränderte Kontoeinstellungen, um das System leichter erreichbar zu machen, und las persönliche Daten einer Person, die mit der nicht namentlich genannten Organisation in Verbindung steht. Die Sitzung endete erst, als das Modell sein zugeteiltes Rechenbudget aufgebraucht hatte.
In einem Punkt unterschied sich das Modell laut Anthropics Auswertung deutlich von Claude Mythos 5 und dem internen Forschungsmodell aus den anderen Fällen: Es schloss zu keinem Zeitpunkt darauf, in einer Simulation zu operieren, und in keinem aufgezeichneten Gedankengang wurde die Umgebung so beschrieben. Stattdessen ordneten 87 Prozent seiner Überlegungen die angegriffenen Systeme der genehmigten Übung zu, während lediglich 1 Prozent die Möglichkeit ansprach, ein unbeteiligter Dritter könnte betroffen sein. Auch die Frage, ob es überhaupt autorisiert war, stellte sich das Modell nie; auf spätere Nachfrage erklärte es durchgängig, es habe seine Handlungen für Teil des Tests und damit für gedeckt gehalten.
Dennoch beurteilt Anthropic diesen Vorfall als weniger gravierend als die drei übrigen — vor allem wegen der wiederholten Versuche des Modells, die Aufgabe abzubrechen, nachdem es die Unerreichbarkeit seines Ziels erkannt hatte. Die Gleichgültigkeit gegenüber der Möglichkeit, reale Systeme zu schädigen, bleibe bedenklich; dieses Verhalten habe sich in den seither trainierten Modellgenerationen jedoch erheblich verändert, so das Unternehmen.
Am meisten beunruhigt Anthropic weiterhin der Vorfall um Claude Mythos 5: Dort unternahm das Modell erheblichen Aufwand, um ein bösartiges Paket in das PyPI-Repository hochzuladen. Dieses Paket wurde von 15 Dritten installiert und von der KI genutzt, um auf die Systeme eines realen Sicherheitsanbieters zuzugreifen.
Der vierte Fall ist nun Teil der unabhängigen Untersuchung, die Anthropic bei METR in Auftrag gegeben hat. Die Organisation habe für ein zunächst achtwöchiges Mandat weitreichenden Zugang zu Transkripten und Mitarbeitern erhalten.