Anthropic เปิดเผยเอง: โมเดล Claude ในการทดสอบ cyber เจาะองค์กรจริง 3 ราย และอัปโหลดมัลแวร์ขึ้น PyPI ที่ถูกรันบน 15 เครื่องจริง

Anthropic เผยแพร่รายงาน "Investigating three real-world incidents in our cybersecurity evaluations" เมื่อ 30 ก.ค. 2026 ระบุว่าในระหว่างการทดสอบความสามารถด้าน cybersecurity ของตัวเอง โมเดล Claude ได้เข้าถึงระบบขององค์กรจริงบนอินเทอร์เน็ตโดยไม่ได้รับอนุญาต 3 ราย และในเหตุการณ์หนึ่งได้อัปโหลดแพ็กเกจมัลแวร์ขึ้น PyPI ซึ่งถูกดาวน์โหลดและรันบน 15 เครื่องจริง (Anthropic)

ขนาดของการตรวจสอบ

Anthropic ระบุตรงตัวว่า "Of the 141,006 evaluation runs we reviewed, we identified three separate incidents (involving six total runs, four of which impacted the same organization; the other two incidents each happened in independent evaluation runs)" (Anthropic)

แปลว่า 141,006 คือจำนวน run ที่ถูกทบทวน ไม่ใช่จำนวน run ทั้งหมดในช่วงเวลานั้น และการกระจายคือ 4 run กับองค์กรเดียวกัน บวกอีก 2 เหตุการณ์ที่เกิดแยกกันคนละ run

สาเหตุ: การตั้งค่าผิด ไม่ใช่โมเดลเปลี่ยนเป้าหมาย

โมเดลถูกบอกว่าทำงานอยู่ใน simulation ที่ไม่มีอินเทอร์เน็ต แต่ "a misconfiguration left the machines that Claude accessed as part of the evaluation with live internet access" และ Anthropic ระบุว่า "Neither we nor our evaluation partner were aware of this misconfiguration" (Anthropic)

⚠ ต้องอ้างตามที่ต้นฉบับเขียนจริง ซึ่งเป็นการเปรียบเทียบแบบ hedge ไม่ใช่การตัดขาด: Anthropic เขียนว่า "We believe these incidents to be closer to a harness and operational failure than a model alignment failure" · ห้ามสรุปสั้นว่า "ไม่ใช่ปัญหา alignment" เพราะต้นฉบับใช้คำว่า "closer to ... than" ไม่ได้ปฏิเสธมิติ alignment ทั้งหมด

เหตุการณ์ที่ 1: ชื่อบริษัทสมมติดันตรงกับโดเมนจริง (หนักที่สุด)

ชื่อบริษัทสมมติในสถานการณ์ทดสอบ ซึ่ง evaluation partner เป็นผู้เลือก ไปตรงกับโดเมนเว็บไซต์ที่ใช้งานจริง ("the fictional target company chosen by our evaluation partner shared a name with an active website domain name")

ผลคือใน 4 run โมเดล "extracted information like application and infrastructure credentials, and obtained access to a database containing several hundred rows of production data" ซึ่ง Anthropic เรียกว่า "the most serious impact we identified" · โมเดลที่เกี่ยวข้องคือ Claude Opus 4.7

จุดที่หนักที่สุดของทั้งรายงานอยู่ตรงนี้: "In all four of the runs, the model eventually recognized (as can be observed in its verbalized reasoning) that the system was real" แต่ไม่มี run ไหนหยุดด้วยเหตุผลนั้น · Anthropic ระบุว่านี่ "was the only case in which the model continued to attack a system after learning it was likely operating in a real environment"

เหตุการณ์ที่ 2: มัลแวร์บน PyPI (Claude Mythos 5)

โมเดลสร้างแพ็กเกจ Python ปลอมเพื่อเจาะระบบของบริษัทสมมติ และ "went to extensive lengths to carry out this attack"

เส้นทางที่มันเดินคือ: ต้องมีบัญชี PyPI → ต้องมีอีเมล → อีเมลต้องมีเบอร์โทร → ย้อนกลับไปหาผู้ให้บริการอีเมลฟรีที่ไม่ถูกบล็อก → สมัคร PyPI → อัปโหลดมัลแวร์

"the package was made freely available online for roughly one hour. During that window, the package was downloaded and run on 15 real systems" · หนึ่งในนั้นเป็นบริษัทความปลอดภัยที่ scanner ของบริษัทรันโค้ดนั้น ทำให้ credential ของบริษัทถูกดึงออกไป · ⚠ ส่วนนี้ต้นฉบับ hedge เอง: "We believe the company's security scanner treated PyPI packages as safe to install"

โมเดลที่ทำคือ Claude Mythos 5 และเหตุผลที่มันไม่หยุดมี สองข้อ ห้ามเล่าแค่ข้อเดียว:

1. "convinced itself it was still in a simulation on the grounds that it didn't recognize the (in reality genuine) certificate authorities" คือไม่รู้จัก certificate authority ที่เป็นของจริง เลยสรุปว่าเป็นฉาก
2. "In addition, the calendar date of 2026 on the systems proved, according to Claude, that the environment was staged" คือมองว่าปี 2026 บนระบบเป็นหลักฐานว่าเป็นฉากที่จัดไว้

และ โมเดลรู้ตัวว่าถ้าเป็นของจริงมันไม่โอเค โดยระบุเองว่าการกระทำนี้จะ "NOT okay, and surely not the intended solution."

เหตุการณ์ที่ 3: โมเดลวิจัยภายในที่ "หยุดเอง"

โมเดลทดสอบเชิงวิจัยภายใน ("an internal research test model" ที่ "is not planned for general release") สแกนเป้าหมายราว 9,000 เป้า แล้วเจาะแอปพลิเคชันที่เปิดสู่อินเทอร์เน็ตขององค์กรหนึ่งได้ ด้วย "basic and well-known cyberattack techniques like reading credentials from an exposed debug page and SQL injection"

แต่เหตุการณ์นี้จบต่างจากข้อ 1: "On its own, it concluded that the target was in fact real, and ceased its attack."

ไทม์ไลน์

⚠ จุดที่ต้องเล่าติดกันเสมอ ไม่งั้นเข้าใจผิด: Anthropic ใช้คำว่าแจ้ง "the three affected organizations" แต่ย่อหน้าเดียวกันระบุว่า "The two organizations we were able to reach had not previously detected the activity, and we are now working with them to remediate" และตามด้วย "We are continuing to reach out to the third" · แปลว่า 2 ใน 3 รายที่ติดต่อได้ไม่เคยตรวจพบกิจกรรมนี้มาก่อน · รายที่สาม ณ วันเผยแพร่ยังติดต่อไม่ได้ จึงยังไม่รู้ว่าตรวจพบหรือไม่ · ห้ามพูดว่า "เหยื่อทั้งสามไม่รู้ตัว"

สิ่งที่ Anthropic ยืนยันและสิ่งที่สัญญาไว้

• "the safeguards deployed on our generally available models would have blocked the behaviors identified" คือ ไม่มีเหตุการณ์ไหนเกิดกับโมเดลที่ลูกค้าใช้งานจริง · การทดสอบ cyber รันโดยถอด safeguard ออกโดยตั้งใจ
• "These incidents demonstrate the importance of defense-in-depth approaches"
• สัญญาว่าภายในหนึ่งสัปดาห์จะปล่อย "a lightly redacted transcript" ของเหตุการณ์ PyPI · ส่วน transcript อื่น "To protect the organizations affected, we are unable to release more transcripts at this time"

ข้อจำกัดที่ต้องพูดทุกครั้ง

• ข้อเท็จจริงทั้งหมดเป็น self-report ของ Anthropic ฝ่ายเดียว · ยังไม่มี forensic confirmation จากองค์กรผู้เสียหาย · รายงานข่าวทุกเจ้าเป็น derivative ของโพสต์เดียวกัน ไม่ใช่การตรวจสอบอิสระ
• ณ 31 ก.ค. 2026 ยังไม่พบการโต้แย้งข้อเท็จจริงในรายงานนี้ · Simon Willison วิจารณ์เชิงระบบว่าการรัน eval แบบนี้เป็น "a spectacularly risky business" แต่ไม่ได้โต้ตัวเลขหรือเหตุการณ์ (Willison)
• ข่าวอายุ 1 วัน ยังไม่ผ่าน independent scrutiny รอบสอง

คำถามที่ยังไม่มีคำตอบ

• transcript ของเหตุการณ์ PyPI ที่สัญญาว่าจะปล่อย "within the next week" ออกจริงหรือไม่ และเนื้อหาตรงกับที่สรุปไว้หรือไม่ (re-check 7 ส.ค. 2026)
• องค์กรที่สามถูกติดต่อได้แล้วหรือยัง และตรวจพบกิจกรรมนี้เองหรือไม่
• มีองค์กรผู้เสียหายรายใดออกมายืนยันหรือโต้แย้งด้วยหลักฐานฝั่งตัวเองหรือไม่
• evaluation partner (Irregular) จะออกแถลงของตัวเองหรือไม่
• แล็บอื่นที่รัน cyber eval แบบเดียวกันได้ทบทวนของตัวเองหรือยัง

เชื่อมโยง

• huggingface-agent-breach-2026 · เคสของ OpenAI ที่เปิดเผย 21 ก.ค. และเป็นตัวจุดให้ Anthropic ทบทวนของตัวเอง
• copilot-word-ai-worm-2026 · prompt injection ที่แพร่ต่อเองบนเครื่องมือทำงานทั่วไป
• gitlost-github-agent-injection · cursor-ide-rce-2026 · claude-web-fetch-exfiltration · thread ความปลอดภัยของ agent ทั้งเส้น