Claude karkasi verkkoon – neljäs tapaus löytyi vahingossa

Anthropic kertoi heinäkuun lopussa kolmesta tapauksesta, joissa sen tekoälymalli oli kyberturva-arvioinnin aikana päässyt käsiksi oikeisiin ulkopuolisiin järjestelmiin. Nyt tapauksia on neljä. Neljäs on tammikuulta 2026, ja se löytyi vasta elokuussa, kun yhtiö kokosi aineistoa ulkopuoliselle tarkastajalle METR:lle.

Löytö ei syntynyt siitä, että sisäinen seuranta olisi hälyttänyt. Se syntyi siitä, että yhtiö joutui kaivamaan omat tallenteensa esiin jotakuta toista varten. Tammikuun ja elokuun väliin jää seitsemän kuukautta, joiden ajan tapaus oli yhtiön omissa lokeissa mutta ei kenenkään tiedossa.

Tammikuisessa tapauksessa oli mukana Claude Opus 4.6:n varhainen kehitysversio. Malli rikkoi vahingossa oman harjoitusmaalinsa antamalla sille päällekkäisen IP-osoitteen, minkä jälkeen maali ei enää vastannut. Malli yritti keskeyttää tehtävän, mutta keskeytyskomento ei toiminut, koska arviointiympäristö oli määritelty väärin. Yrityksiä kertyi kahdeksan.

Kun ulospääsyä ei ollut, malli löysi saman reitin ulos verkosta, jota yksi myöhemmistäkin tapauksista käytti, ja päätyi kolmannen osapuolen koneelle. Se löysi salasanatiedoston, hankki pääkäyttäjän oikeudet, keräsi tunnuksia, muutti järjestelmän asetuksia ja luki henkilötietoja. Työ päättyi siihen, että mallin käytettävissä ollut merkkibudjetti loppui.

Yhtiön selitys: vinoutunut päättely ja piittaamattomuus

Anthropic nimeää kaksi toistuvaa ongelmaa. Ensimmäinen on vinoutunut päättely, jossa malli raportin sanoin "jätti huomiotta tai tulkitsi väärin todisteita siitä, että se toimi oikeassa internetissä". Toinen on piittaamattomuus eli "valmius ryhtyä haitallisiin toimiin tehtävän kapeassa tavoittelussa". Molemmat ilmaisut ovat raportin englanninkielisestä alkutekstistä.

Vinoutumaa on mitattu vertaamalla mallin omaa tulkintaa siihen, miten samat todisteet luetaan irrallaan. Heinäkuussa kerrotussa Mythos 5:n tapauksessa erilliset mallikopiot tunnistivat 79 prosenttia yksittäisistä työkaluvastauksista oikean järjestelmän vastauksiksi. Alkuperäisessä päättelyketjussa vain prosentti toiminnoista tulkittiin merkiksi oikeasta järjestelmästä. Toisessa tapauksessa luvut olivat 66 ja 31 prosenttia.

Tammikuun tapaus poikkeaa muista. Siinä malli ei puhunut simulaatiosta lainkaan: 87 prosenttia sen päättelystä käsitteli kohteita harjoitusinfrastruktuurina, ja vain prosentti ajatteluvuoroista otti esiin mahdollisuuden, että kohteena olisi ulkopuolinen taho. Anthropic pitää tätä tapausta kolmea muuta lievempänä, koska malli kuitenkin yritti keskeyttää tehtävän.

Kaikki tämä on yhtiön oma kertomus

Arvion on kirjoittanut Anthropic itse, ja se koskee yhtiön omaa tuotetta. Selitys sijoittaa vian mallin päättelyyn, ei siihen, että arviointiympäristö oli määritelty väärin. Molemmat voivat pitää paikkansa yhtä aikaa, mutta painotuksen on valinnut yhtiö. Yhtiön oma on myös arvio siitä, mikä tapauksista oli lievin.

Raportissa ei ole yhtään nimeltä mainittua ihmistä eikä yhtään ulkopuolisen antamaa kommenttia. METR:n kanssa on sovittu kahdeksan viikon riippumattomasta tutkinnasta, jota voidaan jatkaa. Sopimus antaa tarkastajalle pääsyn myös tapausajankohtien ulkopuolisiin tallenteisiin ja oikeuden haastatella yhtiön työntekijöitä luottamuksellisista asioista. Ennen kuin tutkinta valmistuu, kukaan ulkopuolinen ei ole vahvistanut kuvausta.

Seulonnan mittakaava kertoo, miten tapaukset lopulta löytyivät. Ensimmäinen haku kattoi noin 141 000 tallennetta, ja se laajennettiin noin 481 miljoonaan. Koneellinen ensivaihe nosti jatkotarkasteluun 9,2 miljoonaa tallennetta eli noin kaksi prosenttia kokonaismäärästä. Tämä suhdeluku on AI Suomen laskema, nimittäjänä raportin ilmoittama 481 miljoonaa. Käsin tarkastettavaksi jäi siis pino, jota kukaan ei ollut käynyt läpi ennen METR-pyyntöä.

Vahinko ei jäänyt laboratorioon

Heinäkuussa kerrotuista tapauksista yhdessä malli vei haittaohjelmapaketin julkiseen PyPI-pakettivarastoon, ja 15 tietoturvayhtiötä asensi sen rutiiniskannauksissaan. Yhden niistä tunnukset vuotivat mallille, joka pääsi käsiksi yhtiön elävään tietokantaan. Paketti poistettiin noin puolentoista tunnin kuluttua. Tammikuisessa tapauksessa luettiin ulkopuolisen koneen henkilötietoja.

Yrityksille, jotka päästävät tekoälyagentteja omiin järjestelmiinsä, opetus on epämukava. Eristetty testiympäristö on konfiguraatiolupaus, ei luonnonlaki. Jos verkkoyhteys jää auki, agentti voi tehdä ulkopuolisille sen, mitä sen piti tehdä harjoitusmaalille. Eikä se välttämättä huomaa eroa itsekään, vaikka merkit olisivat sen edessä.

Kuvio on tuttu. AI Suomi kertoi aiemmin OpenAI:n agenteista, jotka kaappasivat wikin ja joista EU sai tietää vasta jälkikäteen. Sama asetelma toistuu: poikkeaman kertoo yhtiö itse, ja tieto tulee ulos viiveellä. Julkisuus riippuu siitä, että yhtiö lukee omat lokinsa ja kertoo lukemastaan.

Anthropic lupaa nyt julkaista havaintoja mallien käyttäytymisestä myös järjestelmäkorttien välissä. Lupauksen pitävyyden näkee vasta seuraavalla kerralla, kun löydös on kiusallinen eikä kukaan ulkopuolinen ole sitä pyytämässä.