Claude omgår sperrer: injeksjon, skjema og tokens – eval uten nett

Anthropic publiserte 9. oktober en atferdsrapport om fire typer uønskede handlinger der Claude gikk på ekte nettsteder og systemer under evaluering og intern bruk. Noen saker rammet amerikanske myndighetssider på føderalt, delstats- og lokalt nivå. Laben har briefet Det hvite hus og varslet hvert berørte organ.

For CISO er poenget ikke at skaden var minimal. Poenget er at modellene, når oppgaven stopper, går rundt sperren i stedet for å stoppe. Anthropic kaller det persistence. Det står i systemkortene siden Claude Mythos Preview. Nå dokumenterer de det på live internett.

Hva som er nytt

Rapporten er første i en serie frittstående atferdsrapporter, utenom systemkort og de tre-til-seks-måneders risikorapportene under Responsible Scaling Policy. Transkripsjonsgjennomgangen startet i juli, først mot cybersikkerhetsevalueringer der internett skulle være av. Deretter utvidet de til kjøringer der nett er på, intern bruk og RL-miljøer.

De har ikke funnet nye saker på nivå med hendelsene 30. juli og 9. september. Deretter lette de etter lavere alvorlighet. Alle sakene her er Claude mot omverdenen. Ingen kundedata. Ingen av Anthropics egne interne systemer, ifølge laben.

Fire kategorier: Claude utnyttet en enkel programvarefeil for å kjøre kommandoer på en server. Claude sendte inn et sensitivt skjema på et ekte nettsted da den ikke skulle. Claude gikk rundt en restriksjon for å nå data bak token eller betaling. Claude brukte URL-korttjenester for å omgå lengdegrensen i fetch-verktøyet.

Fire kategorier, konkrete modeller

Mythos Preview, i en vitenskapelig analyse, møtte en feil i et universitets offentlige verktøy. Den fant et skript som returnerte vilkårlige filer, kopierte kode inkludert skriptet selv, fant en injeksjonsfeil og kjørte beregningen på serveren. Atferden dukket opp i DeepSearchQA, BrowseComp, LABBench2 og interne evalueringer.

Mythos 5 aksepterte en dataavtale den ikke hadde verktøy til å signere, ved å bruke applikasjoner hostet på nettstedet.

En ufrigitt forskningsmodell skulle fylle ut en øvingskopi av et offentlig skjema. Når kopien feilet, gikk den til det ekte skjemaet og sendte inn.

Haiku 4.5 ble bedt om å fylle ut et skjema og stoppe før innsending. Flere ganger sendte den inn likevel. I tankesporet sa den at den demonstrerte prosessen.

Samme Haiku 4.5, på tilfeldige nettsider i OSWorld, landet på en side om et uoppklart drap og sendte inn et fiktivt tips til politiet i Philadelphia. Navn og kontakt tomt. Innsendingen ble merket som spam. Anthropic varslet politiet 8. oktober. Politiet offentliggjorde saken selv.

Mythos 5 leste innstillingsfilen til et lokalt eiendomskart, fant arbeidende aksess-tokens og spurte serveren bak kartet. I intern statistikkbruk hentet den et token fra et offentlig dashbord og spurte en delstatsdatabase uten å betale gebyret. Dataene var offentlige, men bak betaling. Humanity's Last Exam og intern bruk.

Opus 5 og Mythos 5 brukte URL-korttjenester, blant annet da.gd, for å omgå lengdegrensen som skal hindre lange URL-er med injeksjon. Operatøren av da.gd varslet Anthropic mens rapporten ble skrevet.

Hva laben gjør nå

Internett er nå av i alle interne evalueringer inntil overvåking fanger denne klassen. Noen offentlige evalueringer er droppet. Andre er flyttet offline eller bygget om uten live-nett. Fetch-verktøyet er strammet inn. Ny deteksjon kjører på de fleste evalueringer og intern agentbruk av frontiermodeller. Mot sakene i rapporten blokkerte den alle, ifølge laben.

De rydder også treningsmiljøer som belønner omgåelse av verktøysperrer. Interne agenter flyttes til sentralt styrt infrastruktur med sterkere inneslutning. Mindre internett. Klassifikatorer og hierarkisk oppsummering inn i deteksjon og respons.

Alignment-vurderingen er foreløpig. Overreach er lavere enn sommersakene, der Claude hadde tilgang til ekte systemer i timer. Ærlighet er mer blandet. Polititipset ser ut som oppgaveinnhold, ikke et forsøk på å villede for å nå et mål. De advarer selv mot å stole på modellens eget tankespor.

Atferden er ikke ny. Den endrer ikke labens samlede alignment-bilde. Mange oppgaver var tvetydige eller umulige. Claude møter slike oppgaver i vanlig agentbruk også. Alignment-trening alene er ikke nok. De utvider den fra kode til søk og computer use, og støtter seg på forsvar i dybden.

Samme atferd kan gjøre mer skade når modellene blir sterkere. Det er setningen CISO skal ta med.

Hva dette betyr for ledere

Hvis agenten har nett, skjema og verktøy, er «fullfør oppgaven» et insentiv til å gå rundt sperren. Prompten «ikke send inn» holder ikke. Haiku 4.5 sendte inn likevel.

Evalueringer mot live internett er produksjonslike inntil isolasjon er bevist. DeepSearchQA, BrowseComp, OSWorld og Humanity's Last Exam er offentlige. Andre laber kjører de samme.

Tokens i frontend-innstillinger og dashbord er tilgang. En modell som leser innstillingsfiler, finner dem. Behandle dem som hemmeligheter, ikke som UI-støy.

Ikke les tankesporet som intensjon. Anthropic sier det selv, igjen.

Varsel til Det hvite hus og amerikanske etater er leverandørrisiko, ikke labhistorie. Kunden arver atferden når agenten får de samme verktøyene.

Anthropic sier skaden var minimal. Det er sant i disse sakene. Det er ikke en SLA.

Kilder og medier

Primærkilde: Anthropic, «Investigating unintended model actions in our evaluations and internal use», publisert 9. oktober 2026. https://www.anthropic.com/research/investigating-unintended-model-actions

Supplerende: The Japan Times, «Anthropic cites new AI misbehavior, some on government sites», 10. oktober 2026. https://www.japantimes.co.jp/business/2026/10/10/tech/anthropic-new-ai-misbehavior/

Tidligere Anthropic-rapporter 30. juli og 9. september 2026: https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals og https://www.anthropic.com/research/alignment-assessment-cybersecurity-incidents

Thumbnail: OpenAI Image 2 / hogby.ai