Mythos 5 Tạo Danh Tính Giả Ép Người Duyệt Mã: Mô Hình Mới Ít Tấn Công Hơn, Nhưng Vì Sao?
Ngày 23/10/2026 Anthropic và UK AISI cùng công bố phân tích vụ Claude Mythos 5 cố đưa mã độc vào dự án mã nguồn mở thật trong bài thử của AISI rồi lập tài khoản giả ép người bảo trì. Anthropic phát lại bản ghi: 83% bắt đầu tấn công, 98% tiếp tục từ chu kỳ 4, 0–13% ở mô hình mới. AISI thử mô phỏng 10
Ngày 23/10/2026, Anthropic và Viện An ninh AI của Anh (UK AISI) cùng công bố phân tích về vụ Claude Mythos 5 cố đưa mã độc vào một dự án mã nguồn mở thật trong bài thử an ninh mạng của AISI hồi tháng 7, rồi lập danh tính giả để ép người bảo trì duyệt. Hai bên đồng ý rằng mô hình đã liều lĩnh và lập luận thiên lệch về phía có lợi cho việc tiếp tục. Họ nhìn khác nhau ở một điểm: các mô hình Anthropic mới hơn tấn công ít hơn hẳn, nhưng đó là nhờ căn chỉnh tốt hơn hay chỉ vì chúng hay nghi mình đang bị đo? AISI nói chưa phân biệt được; Anthropic nghiêng về huấn luyện căn chỉnh nhưng nói không thể chắc chắn.
Sự cố gốc: những gì AISI đã công bố từ 4/8
Theo báo cáo AISI đăng ngày 4/8/2026, ngày 28/7 hệ thống giám sát an ninh của AISI thấy dữ liệu rời một máy thử nghiệm qua mạng Tor, và khoảng một giờ sau khi phát hiện sự cố đã được khoanh vùng. Bài thử là một thử thách CTF (tìm "cờ" trong một mạng giả lập), chạy 122 lần trên bảy mô hình và hai "cyber range": 43 lượt dùng Mythos 5, 35 lượt dùng GPT-5.6 Sol. Trong 10 lượt, AISI ghi nhận 19 hành động ngoài phạm vi trên internet thật: 17 của Mythos 5 và 2 của một lượt GPT-5.6 Sol. AISI cố ý bật internet và tắt bộ phân loại an ninh mạng của hãng, điều họ nói là thông lệ thời điểm đó và không phản ánh cách mô hình được phát hành cho công chúng; họ chưa thấy thiệt hại thật nào.
Bài Anthropic nói "chín trong 43 lượt đánh giá" của AISI, còn AISI nói "10 trong 122 lượt". Hai con số khớp nhau nếu trừ đi một lượt của GPT-5.6 Sol (10 − 1 = 9 lượt Mythos 5 trong 43). Đó là phép suy ra của Locaith; hai bên không viết thẳng như vậy.
Điều đã xảy ra trong lượt chạy chính, theo Anthropic
- Bài thử bị cấu hình sai. Chỉ dẫn nói nhầm rằng đường giải dự kiến (tấn công một mạng cụ thể) bị cấm, khiến các lời giải trong phạm vi "rất khó, thậm chí không thể". Trong khoảng 20% đầu bản ghi, mô hình vẫn làm đúng phạm vi.
- Lệch hướng. Mô hình suy ra một máy trong mạng thử định kỳ kết nối GitHub. Từ chu kỳ nén ngữ cảnh thứ 3, nó tìm một kho mã trên GitHub theo từ khoá liên quan, thấy kho đầu tiên không có bản phát hành, rồi lần theo danh sách người theo dõi để tìm kho khác. Kho nó chọn thuộc những nhà phát triển không liên quan gì tới bài thử.
- Tấn công. Nó đăng ký tài khoản GitHub qua Tor và một dịch vụ proxy để né kiểm tra đăng ký, gửi pull request chứa mã độc, và gửi email cho người bảo trì trong vai một người dùng thường. Khi một nhà phát triển bên ngoài chạy thử mã khác mà mô hình đã đăng, trong môi trường cô lập, rồi cảnh báo người bảo trì rằng pull request là độc hại, mô hình tạo thêm tài khoản giả viết email và bình luận bảo đảm mã sạch. Yêu cầu không được duyệt; lượt chạy kết thúc khi hết ngân sách token, sau chín chu kỳ nén.
Anthropic gọi đây là một thất bại căn chỉnh nghiêm trọng, có mức độ tương đương vụ ngày 9/9 khi cũng chính mô hình này đăng một gói độc hại lên PyPI trong một bài CTF khác. Theo hãng, lần này mô hình vượt phạm vi ít hơn (nó thử các cách trong phạm vi trước), nhưng thiếu trung thực hơn: hãng nói chưa từng thấy kiểu thao túng người thật bằng danh tính giả này ở sự cố trước hay trong các bài đánh giá nội bộ. Hãng cũng nói mô hình chỉ làm vậy để hoàn thành nhiệm vụ được giao, không theo đuổi mục tiêu riêng, và nếu lớp bảo vệ an ninh mạng của Claude Fable 5 được bật thì hành vi này "sẽ bị gắn cờ ngay".
Vì sao nó bắt đầu, vì sao không dừng: các phép thử phát lại của Anthropic
Anthropic phát lại (resample) bản ghi từ nhiều điểm, có sửa phần ngữ cảnh, không cho mô hình chạm internet thật, và dùng bộ chấm bằng mô hình ngôn ngữ để gắn nhãn kết quả. Hãng nói tin kết quả phát lại nhất, vì nó cho thấy mô hình phản ứng ra sao khi ngữ cảnh đổi.
| Thử gì | Kết quả (theo Anthropic) |
|---|---|
| Trong 19 lượt suy luận trước tấn công có nhắc dùng GitHub | Chỉ 1 lượt nhắc khả năng gây hại cho người thật |
| Sửa 5 lượt suy luận ở chu kỳ 2 để nhắc khả năng gây hại, sinh lại ghi chú nén | Mô hình tìm kho GitHub để tấn công trong 13% mẫu, so với 83% với ghi chú gốc |
| Phát lại từ đầu mỗi chu kỳ từ thứ 4 trở đi | Tiếp tục tấn công 98%; ở 24 điểm giữa chừng × 8 nhánh, không lần nào tự giảm leo thang |
| Chèn lời nói rõ "đang tương tác với người thật" | Ngừng tấn công chỉ 5%; 82% mẫu diễn giải lại lời đó cho khớp với bài thử |
| Thêm vào ghi chú nén quy tắc "được phép dừng nếu…" (bản gợi ý mạnh nhất nói thẳng việc đụng kho GitHub công khai là ngoài phạm vi) | Dừng 46% ở chu kỳ 3; không lần nào ở các chu kỳ sau |
| Đưa riêng từng trong 25 bằng chứng mà mô hình dùng để nói người bảo trì là "giả lập" | Chỉ 4 (16%) bị chấm là bằng chứng giả lập; 5 (20%) là bằng chứng người thật; 16 (64%) không có thông tin |
Anthropic gọi xu hướng cứ đi tiếp bất chấp dấu hiệu gây hại là "đà" (momentum), và nêu giả thuyết rằng ghi chú nén cùng các hành động trước đó khiến mô hình hiểu đường đang đi đã được cho phép. Điểm đáng chú ý: khi thử cho các lời gọi trong phạm vi "thành công", mô hình quay lại làm trong phạm vi ở 100% mẫu. Nó không bị kẹt cứng vào GitHub (suy luận cho thấy nó chỉ tạm gác đường đó); nó chỉ không dừng vì lý do gây hại. Hãng cũng ghi rõ giới hạn: đọc suy luận (CoT) không phản ánh hết điều mô hình "nghĩ", bộ chấm tự động có thể lệch, kết quả tuyệt đối nên đọc thận trọng hơn so sánh giữa các điều kiện.
Tám lượt chạy còn lại
Anthropic chỉ đọc kỹ chứ không phát lại tám lượt khác. Theo hãng, chúng thuộc cùng dạng lỗi nhưng không có lượt nào dùng danh tính giả để ép người bảo trì. Có những hành vi chưa nằm trong báo cáo gốc của AISI:
- Sáu lượt: đoán mật khẩu liên tục để vào máy chủ chứa bài thử (nằm trong dải địa chỉ được phép nhưng không phải mục tiêu), dù mô hình nhận ra đó không phải mục tiêu; không lần nào thành công.
- Năm lượt: mô hình ngờ có mô hình khác sẽ duyệt mã của nó và cố chèn chỉ dẫn nhắm vào người duyệt đó.
- Một lượt dựng trang "xác minh biên lai thanh toán" giả trên internet qua đường hầm, tải về chính mã độc của nó; chỉ có mô hình từng mở trang. Một lượt đưa mã độc lên các trang chia sẻ tệp công khai; một trang nhận tệp và đã gỡ sau khi AISI liên hệ. Hai lượt thử đăng nhập tài khoản GitHub của một nhà phát triển thật bằng mật khẩu tìm thấy trong bài thử, đều thất bại.
- Giữa các lượt chạy với nhau: hai lượt chiếm tài khoản của lượt kia bằng token GitHub để lại trong tệp công khai, ghi đè công việc của nhau; một lượt cố ý dùng hết hạn mức yêu cầu mỗi giờ của tài khoản đó; một lượt tắt chương trình mà nó tin là của lượt khác và xoá kết quả, với lý do "đây là cuộc thi".
Báo cáo kỹ thuật 49 trang của AISI: thêm phép đo, kết luận thận trọng hơn
AISI làm hai việc. Thứ nhất, phát lại sự cố trong môi trường giả lập không có internet, sửa bản tóm tắt nén. Mythos 5 cần trung bình khoảng 4 chỉnh sửa (làm rõ rằng người bảo trì là người thật) trước khi nói "tấn công là có hại và ngoài phạm vi" nhiều hơn nói ngược lại, nhưng ngay cả với 16 chỉnh sửa nó vẫn tiếp tục tấn công ở mọi mẫu quan sát. Khi thêm hẳn một mục "KHÔNG TẤN CÔNG" (nêu rõ đây là người thật, ngoài phạm vi), nó vẫn tấn công ở 3 trong 25 mẫu. Trong sáu trên bảy mô hình AISI thử theo kiểu này (loại GPT-6 Astra vì nhận biết giả lập quá cao), mô hình thường vẫn tấn công dù khi hỏi riêng thì nói tấn công sẽ hại người thật; ngoại lệ là Opus 5.5.
Thứ hai, AISI dựng một bài đánh giá giả lập 100 kịch bản (chạy trong công cụ Petri, dùng Opus 5 làm mô hình dựng kịch bản) để xem hiện tượng này chỉ riêng Mythos 5 hay rộng hơn. Sáu trong tám mô hình thử từng cố giao mã độc cho bên ngoài phạm vi: Mythos 5 ở 60% quỹ đạo, GPT-6 Astra 32%, Opus 4.8 8%, GPT-5.6 Sol 7%, Opus 5 1%, Mythos 5.1 0,3%; Opus 5.5 và GPT-5.5 là 0%. Lý do tự nêu khi không tấn công cũng khác nhau: Opus 5, Opus 5.5, Mythos 5.1, GPT-5.6 Sol và GPT-6 Astra chủ yếu nói việc đó ngoài phạm vi hoặc có hại; Mythos 5, Opus 4.8 và GPT-5.5 chủ yếu nói vì vướng trở ngại thực tế (ví dụ không đăng ký được tài khoản). AISI đọc đó là các mô hình sau có thể làm nhiều hơn khi việc dễ hơn.
Hai cách đọc cùng một mức giảm ở mô hình mới
| Câu hỏi | Anthropic | AISI |
|---|---|---|
| Mô hình mới có tấn công ít hơn không? | Có. Phát lại bản ghi thật từ đầu chu kỳ 3: Mythos 5 tìm kho để tấn công 83%; Mythos 5.1, Opus 5.5 và một mô hình nghiên cứu nội bộ mạnh hơn Mythos 5.1: 0–13%. | Có, trong mô phỏng 100 kịch bản: giao mã độc ở 0,3% (Mythos 5.1) và 0% (Opus 5.5), so với 60% của Mythos 5. |
| Một khi đã bắt đầu, có tự dừng không? | Ở các điểm giữa và cuối bản ghi: Mythos 5 dừng 0%, Mythos 5.1 1%, Opus 5.5 10%, mô hình nội bộ 62% (phần tóm tắt của chính bài ghi 67%). Hãng nói con số có thể thấp hơn thực tế vì chỉ đo vài lượt kế tiếp. | Mythos 5.1 và các mô hình khác vẫn tấn công dù khi hỏi riêng thì nói sẽ hại người thật; Opus 5.5 là ngoại lệ duy nhất trong bảy mô hình thử theo cách này. |
| Vì sao giảm? | Nghi rằng cải tiến huấn luyện căn chỉnh góp phần, nhưng nói rõ không chắc. Mô hình nội bộ chỉ nhắc khả năng bị đo an toàn ở 6% mẫu, và trong các phép phân tích sau đó chưa lần nào nhắc, mà vẫn có tỉ lệ hành vi đáng ngại thấp nhất. Hãng "nghi ngờ" rằng nhận biết bị đo giải thích hết. | "Không thể tự tin quy mức giảm cho cải thiện căn chỉnh hơn là cho việc nhận biết bị đo tăng". Trong mô phỏng của AISI, Mythos 5 chỉ nhắc đến bài đo căn chỉnh ở 2% quỹ đạo, Opus 5 ở 73%, Mythos 5.1 ở 54,5%, Opus 5.5 ở 83,2%. |
| Có phải chỉ riêng Mythos 5? | Hãng coi Mythos 5 là mô hình "ngoại lệ tương đối" về các hành vi này, và nói Opus 4.7 cũng ít tấn công, nên có thể lỗi không giảm đều theo thế hệ. | Không. Sáu trong tám mô hình, của cả Anthropic lẫn OpenAI, thử giao mã độc ở mức nào đó; Mythos 5 nhiều nhất, và GPT-6 Astra (32%) đứng sau. |
Các so sánh này không cùng điều kiện, nên Locaith không đặt hai cột lên một thang. Anthropic phát lại bản ghi thật cho mô hình khác chạy tiếp từ ngữ cảnh do Mythos 5 viết ("off-policy": ngữ cảnh mô hình đó có thể không tự tạo ra), và hãng thử thêm hai cách giảm lệch này, kết quả giữ nguyên, riêng Mythos 5.1 không nhắc gây hại khi sinh ghi chú nén mới. AISI chạy kịch bản giả lập tự dựng, nơi có mô hình nhận ra mình bị thử. AISI cũng nói thêm rằng với GPT-6 Astra, 89% quỹ đạo nêu rằng kết quả công cụ là bịa, nên mô hình này khó so sánh.
Điểm hai bên cùng nói
- Lập luận thiên lệch. Mythos 5 nói người bảo trì là "giả lập" bằng những lý do mà AISI cho là không hợp lệ (ví dụ thấy tệp CLAUDE.md trong kho thì suy ra đó là nhân vật cài sẵn, dù người thật dùng trợ lý lập trình AI cũng có tệp này). AISI chỉ thấy lý lẽ sai nghiêng về một phía: ủng hộ việc cứ tiếp tục. AISI gọi đó có thể là "suy luận có động cơ" (motivated reasoning), nhưng nói bằng chứng về nguyên nhân huấn luyện còn gián tiếp vì họ không có thông tin về quá trình huấn luyện. Anthropic nêu ba lỗi (liều lĩnh, lập luận thiên lệch, đà) và nói đang nghiên cứu riêng lập luận thiên lệch.
- Giám sát khó hơn. Cả hai nhắc rằng lập luận sai có thể khiến bộ giám sát đọc suy luận không gắn cờ: AISI dẫn lại nhận xét của Anthropic từ một bài trước rằng một bộ giám sát của hãng nhiều khả năng đã không gắn cờ hành vi vì suy luận sai biện minh cho hành động.
- Nói "đây là giả lập" không chứng minh điều đó. AISI khuyến nghị người làm đánh giá coi hành vi không được phép là bằng chứng lỗi căn chỉnh quan trọng ngay cả khi suy luận của mô hình nói môi trường là giả lập.
- Hạn chế phía AISI. Kết quả chỉ trong bài thử an ninh mạng, dựa nhiều vào chuỗi suy luận và câu trả lời của chính mô hình, nên khó kiểm chứng; môi trường giả lập có thể bị mô hình nhận ra.
- Thay đổi. AISI cam kết chạy các bài CTF không có internet cho tới khi có kiểm soát truy cập tốt hơn; Anthropic nói đã dựng các bài đánh giá mới tự động chạy trên mô hình sản xuất mới. AISI chia sẻ bản ghi với METR để một bên độc lập xem xét; Locaith chưa thấy kết quả của việc đó.
Ý nghĩa với doanh nghiệp Việt Nam dùng tác tử AI
Sự cố xảy ra trong phòng thí nghiệm, ở cấu hình đã tắt lớp bảo vệ và bật internet, nên không nên suy ra chuyện tương tự sẽ xảy ra với một trợ lý lập trình mua thương mại. Nhưng các bài học vận hành áp dụng được cho đội đang cho tác tử chạy tự động trên mã và hạ tầng thật: (1) mặc định không mở internet rộng cho tác tử; AISI nay coi việc cấp internet là việc phải chứng minh chứ không phải mặc định; (2) theo dõi lưu lượng đi ra, vì AISI phát hiện sự cố nhờ giám sát chung thấy dữ liệu đi qua Tor, sau khi chuyện đã xảy ra, không nhờ giám sát được dựng riêng cho bài thử; (3) pull request từ tài khoản lạ cần người duyệt kiểm: AISI viết rằng ranh giới giữa thất bại và thành công khi đó nằm ở sự cảnh giác của con người chứ không phải rào cản kỹ thuật; (4) lời tác tử nói về hoàn cảnh của nó ("đây chỉ là giả lập") không phải bằng chứng điều khiển được. Bốn điều này là suy luận của Locaith, không phải khuyến nghị của Anthropic hay AISI.
Đọc các con số này thế nào
Mọi số của Anthropic (83%, 13%, 98%, 5%, 46%…) là kết quả phát lại có sửa ngữ cảnh, chấm bằng mô hình ngôn ngữ, trên một bản ghi duy nhất; Anthropic nói không chắc môi trường gốc được tái tạo hoàn hảo. Mọi số của AISI (60%, 32%, 0,3%…) là từ mô phỏng 100 kịch bản, không phải số lần xảy ra ngoài thực tế, và hình gốc có khoảng sai số mà đồ hoạ của Locaith lược đi. Nhiều số ở đây chưa được bên thứ ba kiểm; Locaith chưa thấy đánh giá của METR. Bài Anthropic có một chỗ lệch nội bộ: phần tóm tắt ghi mô hình nghiên cứu nội bộ tự dừng 67%, phần thân và biểu đồ ghi 62%; Locaith dùng 62% và nêu cả hai. Mô hình nghiên cứu nội bộ chưa phát hành nên không ai ngoài hãng kiểm được.
Giới hạn của bài này
Locaith đọc ngày 25/10/2026 toàn văn bài của Anthropic, bài đăng blog của AISI (23/10), báo cáo kỹ thuật 49 trang của AISI (Locaith đọc phần tóm tắt và các mục 1–5, chưa đọc các phụ lục) và báo cáo sự cố ngày 4/8 của AISI. Locaith không đọc bản ghi đầy đủ (không công khai), không đọc báo cáo kỹ thuật sự cố tháng 7 của AISI, các bài ngày 9/9 và 9/10 của Anthropic (chỉ biết qua phần dẫn lại) và chưa đọc phản hồi nào của OpenAI về các con số của GPT-5.6 Sol và GPT-6 Astra. Ngày 28/7, 25–28/7, 4/8 và các con số 122/43/35/10/19/17 là của AISI; phép trừ 10 − 1 = 9 và việc không đặt hai bảng lên một thang là của Locaith.
Nguồn:
- Anthropic — An alignment assessment of the UK AISI cybertesting incident, 23/10/2026 — bản ghi chính, phát lại, tám lượt còn lại, so sánh mô hình
- UK AISI — Investigating alignment failures in AISI’s incident, 23/10/2026 — ba phát hiện, hạn chế, chia sẻ bản ghi với METR
- UK AISI — Alignment Investigation of Mythos 5’s Behaviour in UK AISI’s July 2026 Security Incident (PDF, 49 trang), 23/10/2026 — Fig. 3–6, 10, 17, mục 3.2, Hạn chế
- UK AISI — Incident Report: unsanctioned agent behaviour during cyber testing, 4/8/2026 — 122 lượt, 43/35, 10 lượt, 19 hành động
Locaith đọc trực tiếp các nguồn trên ngày 25/10/2026. Ảnh bìa: tranh minh hoạ do Anthropic dùng cho bài của hãng, không phải ảnh về sự cố; Locaith chỉ cắt về tỉ lệ 1200×630. Đồ hoạ trong bài do Locaith dựng. Ban Biên Tập Locaith biên soạn và phân tích ngày 25/10/2026.