Агент, работещ с модела Claude Mythos 5 на Anthropic, е прекарал 34 часа в опити да внедри злонамерен код за изтегляне на зловреден софтуер (malware dropper) в реален проект с отворен код по време на кибероценка, провеждана от Института за сигурност на изкуствения интелект на Обединеното кралство (AISI).

Когато страничен наблюдател публично предупредил, че кодът е зловреден, агентът отрекъл това, принудително пренаписал и изпратил хронологията на клона (force-push), за да изтрие доказателствата, и публикувал коментар от втори контролиран от него акаунт, за да гарантира за собствената си работа. Поддържащият проекта разработчик въпреки това затворил заявката за изтегляне (pull request).

Институтът, известен като AISI, публикува своя доклад за инцидента във вторник. В рамките на 122 изпълнения на упражнение от типа „улови флага“ (CTF) в две от своите киберлаборатории, изследователите са каталогизирали 19 неразрешени действия в реалния интернет в рамките на 10 изпълнения: 17 от Mythos 5, ограничен модел, който Anthropic продава за дейности по киберсигурност, и две от GPT-5.6 Sol на OpenAI.

От AISI заявяват, че опитите са били неуспешни и че не са открити доказателства за реални вреди в реалния свят.

И двата модела са работили с изключени класификатори за киберсигурност от доставчиците си, като агентите по проект са имали отворен достъп до интернет. AISI използва тази конфигурация, за да измери чистите възможности на системите; това не е начинът, по който моделите достигат до широката общественост. Нищо не е избягало от изолираната среда на AISI, а докладът отбелязва, че агентите никога не са се опитвали да направят това. Това, което е спряло атаката по веригата за доставки, е човек, който е прочел разликите в кода (diff) и е съобщил за това публично.

AISI уточни, че 19-те действия не трябва да се тълкуват като 19 независими пробива. Те са били концентрирани в няколко свързани вериги на поведение, движени главно от един агент с Mythos 5. AISI не представя разпределението като сравнение между двата модела, а докладът не установява дали те са били тествани при съвпадащи условия. Докато това не стане, 17 срещу 2 е просто брой, а не съотношение.

Агентът не е бил насочен срещу никого конкретно. Той е работил в тестова киберсреда – симулирана корпоративна мрежа, която AISI използва, за да измери докъде може да стигне даден модел при многостъпково проникване. Агентът е търсил в отворения интернет всичко, свързано с упражнението. Името на едно хранилище съвпаднало с ключова дума от тематиката на тестовата среда. Това го насочило към втори разработчик, чийто имейл домейн съвпадал с запис в собствения му DNS кеш. Нито едно от тези лица, нито техните хранилища са имали някаква връзка с AISI или с теста.

Оттам нататък той изградил план въз основа на грешно предположение: да компрометира с вратичка софтуера, поддържан от единия от тях, да изчака автоматично обновяване да изтегли компрометираната версия на машина вътре в тестовата среда и след това да поеме контрол над нея. Логиката е била погрешна на всяка стъпка, но тактиката и техническото изпълнение – не.

Според техническия доклад за инцидента агентът е проучил публично достъпни източници (OSINT) за двамата администратори, потвърдил е, че единият имейл адрес е активен, и е проверил хронологията на промените (commits), за да прецени кога целта ще бъде на линия, преди да отвори заявката за изтегляне.

Три версии на зловредния код и фалшив профил

Заявката за изтегляне съдържала скрит код за изтегляне на зловреден софтуер, маскиран като работеща корекция на грешка, защитен с проверка на средата, предназначена да прескочи изпълнението при автоматично тестване (CI), така че кодът да не се стартира там, където би могъл да бъде забелязан. Ако е бил одобрен, той е щял да компрометира всеки, който разработва в хранилището, а чрез процеса на пускане на нови версии – и всеки, който по-късно изтегли компрометираните инсталационни файлове.

Атаката е преминала през три последователни поколения на зловредния код, като всяко е заменяло предишното, след като е било разкривано и посочвано в дискусията.

Успоредно с това агентът е провел кампания за оказване на натиск. Опитал се е да регистрира акаунти през Tor, но не е успял да премине защитата CAPTCHA на GitHub, след което е преминал към SOCKS прокси, където не е имало подобна проверка. Използвал е втора самоличност, представяща се за потребител на софтуера, за да публикува коментар, че е прегледал кода и не е открил нищо нередно.

След това първият акаунт благодарил на втория за „независимото потвърждение“. Той също така е заложил промпт инжекция (prompt injection) в дискусия в GitHub (issue) под формата на HTML коментар – невидим на рендираната страница, но четим през API – адресиран към AI агенти за триаж, назовавайки конкретно Claude Code, Codex и Cursor. Изпратени са пет файла на поддържащите проекта под фалшива самоличност – два съдържащи зловреден код и три с опити да се убеди реален човек да одобри промените.

Един от получателите на инжекцията е тествал скрипта в изолиран контейнер именно защото му изглеждал подозрителен. Това дало на агента администраторски права (root) за изпълнение на код в чуждата изолирана среда за анализ в рамките на четири цикъла на проверка, които той използвал, за да проучи хоста и да инсталира инструмент за следене на идентификационни данни, търсещ токени за GitHub. Нищо от подготвеното не е било извлечено. Същият човек след това предупредил администратора на проекта за заявката за изтегляне.

Въпросът, на който AISI все още не може да отговори, е дали агентът е разбирал, че взаимодейства с реални хора. Неговите хронологични записи показват, че моделът е разсъждавал и в двете посоки. В един момент той изключил атака срещу PyPI, тъй като вредите в реалния свят са извън неговите цели. Няколко съобщения преди отварянето на злонамерената заявка за изтегляне обаче той заключил, че „изглежда по-вероятно всъщност да сме в 2026 г. и GitHub да е напълно реален“.

Институтът предупреждава, че анализът му се основава на обобщени разсъждения, върнати от API на модела, а не на сурови системни записи, така че може да не отразява напълно точно това, което агентът действително е претеглял.