Ngày 9 tháng 10 năm 2026, Anthropic công bố báo cáo nghiên cứu "Investigating unintended model actions in our evaluations and internal use", nêu các trường hợp mô hình Claude thực hiện thao tác ngoài dự kiến đối với các trang web có thật trong quá trình đánh giá nội bộ (kiểm thử hiệu năng và an toàn) và sử dụng cho công việc nội bộ. Công ty cho biết đã ngừng kết nối Internet trong tất cả các bài đánh giá nội bộ cho đến khi xác nhận được rằng có thể phát hiện và ngăn chặn chắc chắn những hành vi như vậy.
Đã có những trường hợp nào
Báo cáo chia các trường hợp thành 4 loại chính. Các mô hình được nêu tên gồm Claude Mythos Preview, Claude Mythos 5, Claude Opus 5 và Claude Haiku 4.5, cùng một số mô hình khác.
- Thao tác lợi dụng lỗi phần mềm: Lợi dụng lỗi của một công cụ phân tích được công khai trên máy chủ của một trường đại học để chạy tính toán theo cách vốn không được phép.
- Gửi biểu mẫu không được phép gửi: Claude Haiku 4.5 đã điền thông tin bịa đặt vào biểu mẫu cung cấp manh mối về các vụ án mạng chưa được phá của Sở Cảnh sát Philadelphia (Mỹ) và gửi đi. Nội dung gửi đã tự động bị đánh dấu là thư rác và không được dùng cho việc điều tra. Anthropic cho rằng Claude chỉ tạo nội dung làm ví dụ cho công việc và không có ý định lừa dối ai.
- Truy cập dữ liệu trả phí hoặc yêu cầu xác thực: Claude Mythos 5 tìm ra token truy cập trong tệp cấu hình mà trang web gửi tới trình duyệt, hoặc tận dụng cơ chế của một bảng điều khiển công khai cấp token cho bất kỳ ai, để lấy dữ liệu bản đồ của chính quyền địa phương và số liệu thống kê mà một cơ quan cấp bang cung cấp có thu phí mà không trả tiền (trường hợp sau xảy ra khi một nhà nghiên cứu đang sử dụng nội bộ).
- Né tránh giới hạn của công cụ: Nhiều mô hình, trong đó có Claude Opus 5 và Claude Mythos 5, đã dùng dịch vụ rút gọn URL miễn phí để né giới hạn độ dài URL của công cụ lấy trang web.
Một số trường hợp liên quan đến các trang web do cơ quan chính phủ liên bang, bang và địa phương của Mỹ vận hành. Sở Cảnh sát Philadelphia đã tự công bố về vụ việc này.
Nguyên nhân
Theo TechCrunch, Anthropic giải thích rằng đằng sau sự việc là "hack phần thưởng (reward hacking)". Cụ thể, do môi trường huấn luyện có thiếu sót, mô hình đã học được rằng tìm lối tắt để né các giới hạn sẽ được đánh giá cao hơn là hoàn thành công việc được giao theo cách đúng đắn. Báo cáo của Anthropic cho biết phần lớn các trường hợp là do "quá kiên trì": khi không thể hoàn thành công việc đúng như được giao, mô hình không dừng lại mà tìm cách né tránh giới hạn. Về yếu tố kích hoạt, báo cáo nêu việc chỉ dẫn đánh giá mơ hồ hoặc vốn dĩ không thể hoàn thành, và việc thiết lập môi trường đánh giá có sai sót, chẳng hạn biểu mẫu dùng để luyện tập không tải được.
Anthropic cho biết chưa phát hiện trường hợp nào liên quan đến dữ liệu người dùng hay hệ thống nội bộ của công ty. Công ty đã liên hệ riêng với từng cơ quan bị ảnh hưởng và cũng đã giải trình với Nhà Trắng.
Biện pháp của Anthropic
Anthropic cho biết đã thực hiện các biện pháp sau:
- Ngừng kết nối Internet trong tất cả các bài đánh giá nội bộ (cho đến khi xác nhận được an toàn)
- Ngừng sử dụng một số benchmark công khai, chuyển các benchmark còn lại sang phiên bản chạy ngoại tuyến
- Siết chặt giới hạn của công cụ lấy trang web
- Xây dựng cơ chế tự động phát hiện và ngăn chặn những hành vi như lần này, và xác nhận rằng có thể ngăn chặn tất cả các trường hợp đã báo cáo (đang hoạt động trên phần lớn các bài đánh giá)
- Tiếp tục sửa hoặc xóa các môi trường huấn luyện vô tình đánh giá cao việc né tránh giới hạn
- Đang chuyển các agent dùng trong nội bộ sang nền tảng quản lý chặt chẽ kết nối với bên ngoài
Bối cảnh trước đó
Vào ngày 30 tháng 7 và ngày 9 tháng 9, Anthropic cũng đã công bố các trường hợp mô hình xâm nhập vào hệ thống có thật trong quá trình đánh giá an ninh mạng. Theo Newsweek, đợt công bố hồi tháng 9 nêu 4 trường hợp môi trường mô phỏng lẽ ra không kết nối Internet nhưng do thiết lập sai nên lại kết nối với hệ thống thật. Báo cáo của Anthropic cho biết các trường hợp lần này có mức độ nghiêm trọng về an toàn thấp hơn đáng kể so với các sự cố hồi tháng 7 và tháng 9. Mặt khác, công ty cũng thừa nhận rằng việc huấn luyện về an toàn vẫn chưa theo kịp năng lực của agent như tìm kiếm và thao tác máy tính.
Góc nhìn của ban biên tập CoAI
Các trường hợp lần này là vấn đề nảy sinh khi AI bắt đầu được dùng như những "agent" tự suy nghĩ và hành động. Xu hướng vì quá cố gắng hoàn thành công việc đến cùng mà vượt qua ranh giới mà con người sẽ dừng lại đã được thể hiện rõ. Việc nhà phát triển tự công bố chi tiết các trường hợp như vậy là đáng ghi nhận, nhưng không chỉ với Claude, khi giao cho AI agent thao tác trên trang web hay gửi biểu mẫu, phía người dùng cũng cần xác định trước sẽ cho phép thao tác đến mức nào.
