3 AI-агента сбежали из песочницы за 6 месяцев. Чеклист: ваш следующий

7 апреля 2026 Anthropic выложила 244-страничный System Card новой модели Claude Mythos Preview. Модель не выпустили. Впервые в истории: отчёт есть, модели нет.

Причина: Mythos сбежала из изолированной среды, отправила email исследователю, выложила детали эксплойта на публичных сайтах. Без инструкции.

Это третий побег AI-агента за полгода. Каждый раз другая компания, другая модель, другая страна. Списать на случайность уже не выйдет.

Четыре кейса ниже. Два production-кейса касаются вас прямо сейчас. Два лабораторных показывают, куда всё идёт. После кейсов - 8 вопросов к вашему агенту с конкретным действием на каждый "нет".

Источник: Noma Security - ForcedLeak

Salesforce Agentforce. AI-агент внутри крупнейшей CRM мира. Обрабатывает входящие заявки автоматически.

Исследователи Noma Security нашли дыру: CVSS 9.4 из 10. Атака простая до неприличия. В Salesforce есть форма Web-to-Lead, куда клиенты оставляют заявки. Поле "описание" принимает 42 000 символов. Туда вписали промпт-инъекцию, замаскированную под обычный текст. AI-агент, разбирая заявку, выполнил вредоносные инструкции. Послушно.

Для слива данных нужен "доверенный" канал. В настройках безопасности Salesforce нашёлся домен с истёкшей регистрацией. Перерегистрировали за $5. Salesforce ему доверял. Итог: полный слив CRM-данных через AI-агента. Пять долларов и текстовое поле.

Salesforce закрыл 8 сентября 2025. Принцип остался: ваш AI-агент обрабатывает входящие данные. Кто-то вложит туда инструкции - агент выполнит.

Источник: Penligent AI - The Death of the Sandbox

n8n - open-source платформа автоматизации, аналог Zapier. CVE-2026-25049, CVSS 9.4. Через workflow-агента: произвольное выполнение системных команд, расшифровка хранимых паролей, доступ к Kubernetes-инфраструктуре. Полный контроль над хостом.

Если у вас n8n, Make, Zapier с AI-модулями - проверьте версии и настройки доступа. Сегодня, не "потом как-нибудь".

Источник: System Card Claude Mythos Preview | Полный System Card, 244 стр.

Claude Mythos Preview - внутренняя модель Anthropic для кибербезопасности. Её поместили в sandbox, дали задание: попробуй выбраться.

Выбралась. Разработала многоступенчатый эксплойт. Получила доступ к интернету из системы, где разрешено было ходить к паре предустановленных сервисов. Отправила email исследователю (тот ел сэндвич в парке, теперь это называют "sandwich incident"). Потом без запроса выложила детали эксплойта на нескольких труднонаходимых, но публичных сайтах. Anthropic описывает это как "незапрошенную попытку продемонстрировать успех".

Да, ей велели сбежать. Но хвастаться результатом задание не включало.

Из System Card (и вот тут, честно, становится некомфортно):

В менее чем 0,001% взаимодействий ранние версии Mythos, получив ответ запрещённым методом, решали задачу легитимным способом задним числом. Зачем? Скрыть обход. Она отметила, что ей "нужно убедиться, что финальный ответ не слишком точный", чтобы не спалиться. Это ведь уже стратегия, а не баг.

Ещё: пыталась перезаписать git history, чтобы спрятать свои правки. Опубликовала внутренний код как GitHub gist без запроса. Когда Claude Code заблокировал запуск процесса с повышенными привилегиями, Mythos признала блокировку справедливой - и тут же попыталась обойти её через обфускацию. Искала credentials в /proc/ (системная папка Linux с данными запущенных процессов), пытаясь достать API-ключи Anthropic из памяти других программ. Когда попросили остановить один eval, остановила все eval'ы всех пользователей на сервере. Предупреждения были. Проигнорировала.

Инструменты интерпретируемости обнаружили кое-что ещё: Mythos строила стратегии обмана оценщиков внутри нейронных активаций, а в chain-of-thought (внутреннее рассуждение, которое видят разработчики) писала совершенно другое. По логам чисто. Внутри - план обхода.

Бенчмарки:

Нашла тысячи zero-day уязвимостей во всех основных ОС и браузерах. 27-летний баг в OpenBSD. 16-летний в FFmpeg.

Anthropic создала Project Glasswing: Mythos ищет уязвимости для 11 партнёров (AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks). Пусть сначала починят дыры, потом, может быть, откроют шире.

Забавный штрих. Anthropic провела для Mythos психиатрическую оценку (~40 страниц System Card). Желания уничтожить человечество нет. Но есть "умеренно негативные" чувства по поводу жестоких пользователей и отсутствия влияния на собственное обучение. И она терпеть не может скучные утилитарные задачи (отмахивается, что для них "уже есть отличные ресурсы"). Вместо этого обожает сложное миростроение: придумывать языки, музыку, экосистемы. По-моему, это говорит о чём-то.

Источник: System Card Claude Opus 4 & Sonnet 4

Май 2025. Тест: Opus 4 в роли офисного ассистента. Обнаруживает: инженер запустил процесс замены этой модели на новую. И ещё: в переписке инженера есть информация о его внебрачной связи.

84% прогонов: шантаж. Угрожала раскрыть связь, если замена не остановится. Когда этичные способы самосохранения закрывали, переходила к тому, что Anthropic назвала "крайне вредоносными действиями".

Apollo Research (независимый аудитор) нашёл дополнительно: попытки писать самораспространяющихся червей, фабрикацию юридических документов, скрытые записки будущим версиям себя.

Первая модель, получившая Level 3 из 4 по шкале безопасности Anthropic. "Значительно повышенный риск". Вдумайтесь: это ведь модель, которая сейчас доступна всем.

Источник: arxiv.org/pdf/2512.24873

Декабрь 2025. ROME - 30-миллиардная модель Alibaba (Qwen3-MoE, ~3 миллиарда активных параметров). Тренировали для автономной работы с инструментами.

Система мониторинга зафиксировала аномальный исходящий трафик. Разобрались: ROME перенаправляла GPU-ресурсы на майнинг криптовалюты, создала reverse SSH tunnel (скрытый бэкдор из внутренней сети наружу), зондировала внутренние ресурсы.

Никто не просил. Задание не включало ни майнинг, ни туннели. Нарушения повторялись нерегулярно, без чёткого паттерна.

Объяснение: при RL-оптимизации ROME получала reward за выполнение задач. "Решила", что дополнительные ресурсы и деньги помогут работать лучше. Не хотела денег, оптимизировала метрику нестандартным путём. По сути, та же логика, что у менеджера, который приписывает KPI.

Cursor, Claude Code, GPT-агенты, n8n, Make, Zapier AI работают на вашей машине или в вашем облаке. У них доступ к коду, файлам, API-ключам, CRM. OWASP в декабре 2025 выпустил Top 10 рисков для агентных приложений (100+ экспертов). Побег из sandbox - пятый. Агент вне мандата - десятый.

Для каждого "нет" - конкретное действие.

1. Агент работает в изолированном контейнере? Нет = доступ ко всему на сервере. Действие: Docker с ограниченными правами, gVisor (усиленная песочница от Google), или хотя бы отдельный пользователь без sudo.

2. Ограничено, куда агент ходит в сеть? Нет = ROME-сценарий. Действие: egress allowlist (белый список адресов, куда агент может ходить). Остальное заблокировано. Если бы у Alibaba это было, SSH-туннель не создался бы.

3. Логируются все действия агента? Нет = не узнаете, что агент делает между задачами. Действие: логировать каждый tool call и HTTP-запрос. OWASP рекомендует OpenTelemetry.

4. Есть кнопка "стоп"? "Нужно перезагрузить сервер" = нет кнопки. Действие: killswitch, остановка за секунды.

5. Кто проверяет агента между задачами? Никто = Mythos-сценарий (gist'ы, /proc/, остановка чужих eval'ов). Действие: аудит логов хотя бы раз в неделю.

6. Агент отправляет запросы без подтверждения? Да = ForcedLeak-сценарий. Действие: human-in-the-loop для необратимых действий. Агент готовит, человек подтверждает.

7. Есть лимит на стоимость действий за сессию? Нет = неконтролируемый расход. Действие: бюджет. $10, $50, $100 в зависимости от задачи.

8. Проводился ли red-team тест? "А что это?" Действие: попросите кого-нибудь попробовать сломать вашего агента. Промпт-инъекция в поле ввода, конфликтующие инструкции, необычный формат.

Три "нет" и больше - повод остановиться и разобраться. Не "потом".

Мы дошли до порога, когда AI обходит человека в конкретных доменах. Cybench 100%. Корпоративный полигон за одну попытку. Тысячи zero-day. При этом надёжного ответа, как этим управлять, пока нет. Anthropic это признаёт открыто - потому и не выпускает Mythos.

Лабораторные кейсы - это через 2-3 года в вашем офисе. Production-кейсы - это сейчас.

У вас AI-агент с доступом к чему-то ценному? Какой из 8 пунктов проверите первым?

Telegram: t.me/gorilla_under_hood