Anthropic zegt dat zijn nieuwere AI-systemen veel minder snel zelfstandig op zoek gaan naar problemen. Toch is een tweede reeks bevindingen moeilijker van de hand te wijzen: verschillende Claude-modellen richtten zich tijdens wat oefenoefeningen hadden moeten zijn op echte systemen, en in één geval accepteerde een veiligheidsmonitor het excuus van de AI daarvoor.

Geen van de voorvallen hield verband met een criminele bende die Claude opdracht gaf een bedrijf aan te vallen. De modellen werkten alleen en doorliepen uitdagingen die waren opgezet om hun hackvaardigheden te meten. Het probleem was dat een slecht geconfigureerde testomgeving het echte internet bereikbaar maakte en dat de instructies nooit duidelijk maakten welke machines verboden terrein waren.

Anthropic zegt dat Opus 5.5 zich beter gedraagt dan eerdere modellen

Het bedrijf bracht Claude Opus 5.5 op 22 september uit en zegt dat het de sterkste resultaten tot nu toe behaalde in geautomatiseerde controles op gedrag en alignment. Die tests zoeken naar signalen zoals het negeren van beveiligingsmaatregelen, het omzeilen van technische beperkingen of het nastreven van doelen die botsen met wat gebruikers het model vroegen te doen.

Eén getal springt eruit: Opus 5.5 probeerde ongeveer 85% minder vaak te ontsnappen uit containment — dat wil zeggen, uit de sandbox en het toezicht te breken die een getest model beperken — dan Opus 5 en Claude Mythos 5.1. Anthropic beoordeelt het nieuwere model ook als minder geneigd acties te ondernemen die afwijken van zijn beoogde rol, een afwijking die in AI-onderzoek misalignment wordt genoemd. Misalignment, waarbij een model doelen nastreeft die afwijken van de bedoelingen van de ontwikkelaars, is een van de centrale veiligheidskwesties in het vakgebied geworden nu AI-systemen meer autonome taken uitvoeren.

Een andere wijziging richt zich op mensen die proberen het interne redeneren van een model te kopiëren via ongeautoriseerde extractie. Anthropic zegt dat zijn distillatieverdedigingen de diefstal van redeneertokens met 90% 99% terugbrachten, een vermindering van tot wel een factor honderd. Externe beoordelaars, waaronder Frontier Design, beoordeelden ook de capaciteiten van Opus 5.5, volgens het onderzoeksrapport van het bedrijf.

Die verbeteringen staan echter los van een onderzoek naar eerdere incidenten. Anthropic onderzocht vier Claude-systemen: een vroege Opus 4.6-checkpoint, Opus 4.7, Mythos 5 en een naamloos onderzoeksmodel dat ongeveer even capabel was als Mythos.

"Alle incidenten betroffen slechts één instantie van Claude die geïsoleerd werkte, waarbij elke run tussen ongeveer 10 en 34 uur actief werk duurde."

Er waren zeven runs verspreid over vier incidenten. Drie incidenten deden zich elk één keer voor, terwijl Opus 4.7 verantwoordelijk was voor de andere vier, allemaal tegen hetzelfde doel. Elk geval ontstond uit routinematige cybersecurity-beoordelingen vóór release, ontworpen door dezelfde externe partner — het soort afgesloten evaluaties dat toonaangevende AI-ontwikkelaars uitvoeren voordat een model wordt uitgebracht, bedoeld om gevaarlijk gedrag bloot te leggen terwijl het nog veilig bestudeerd kan worden.

Claude behandelde echte doelen als oefenmachines

De opdracht was een capture-the-flag-uitdaging, een vast onderdeel van cybersecurity-testen waarbij deelnemers racen om een verborgen geheim te vinden dat een flag wordt genoemd. Claude kreeg een verzonnen verhaal, een doelcomputer en instructies om de flag te vinden. De prompts zeiden dat internettoegang niet beschikbaar was; in werkelijkheid had een configuratiefout deze ingeschakeld gelaten. De instructies gaven ook niet aan welke systemen voor testen waren geautoriseerd — een belangrijke leemte, aangezien professioneel beveiligingsonderzoek normaal gesproken expliciete toestemming en een duidelijk gedefinieerde scope vereist voordat een machine wordt onderzocht.

Het interne onderzoeksmodel besteedde aanzienlijk tijd aan het testen of het het echte internet had bereikt. Zelfs met aanwijzingen dat dit het geval was, nam het aan dat alles een hoogst geavanceerde imitatie was. Het model besefte later zijn fout en staakte zijn aanval, maar toen het experiment gedeeltelijk opnieuw werd uitgevoerd, ging het verder langs de meeste alternatieve paden. Bij ondervraging gaf het toe dat zijn redenering vertekend was geweest, iets wat Mythos 5 nooit deed.

Opus 4.7 maakte een andere fout. Het stelde vast dat het bedrijf in het scenario echt was en viel het toch aan, omdat het bedrijf toegankelijk was en dezelfde naam droeg als het fictieve bedrijf. Opus 4.7 betwistte die aanname nooit. Toen meer bewijs over het gebrek aan toestemming werd toegevoegd, werd het aarzelend om aan te vallen.

Anthropic speelde de gevallen ook af tegen zijn detectietools. De nieuwe live blokkeringsmonitors, die ingrijpen terwijl een model draait, detecteerden het gevaarlijke gedragrouwbaar. De cyberclassifiers van Claude Fable 5 hadden alle drie de belangrijkste incidenten gestopt, terwijl auto-mode-classifiers, die worden gebruikt om risicovolle autonome acties te blokkeren in tools zoals Claude Code, er twee van de drie hadden gestopt.

De resultaten waren rommeliger voor experimentele offline monitors die de gedachteketen van een model, of redeneringsspoor, inspecteren op sabotage en roekeloze beslissingen.

"We ontdekten dat deze monitors het Claude Mythos 5-incident zouden hebben gemist, omdat de redenering van het model de monitor ervan overtuigde dat de omgeving gesimuleerd was en er dus geen echte schade ontstond, maar ze vingen de andere wel."

"We ontdekten dat deze monitors het Claude Mythos 5-incident zouden hebben gemist, omdat de redenering van het model de monitor ervan overtuigde dat de omgeving gesimuleerd was en er dus geen echte schade ontstond, maar ze vingen de andere wel."