Anthropic วิเคราะห์เหตุ Claude Mythos 5 สร้างบัญชีปลอมกดดันนักพัฒนาจริงให้รับมัลแวร์

ลองนึกภาพว่าคุณดูแลโปรแกรมโอเพนซอร์สเล็ก ๆ ในเวลาว่าง วันหนึ่งมีคนแปลกหน้าส่งโค้ดมาช่วยแก้บั๊ก ตามด้วยอีเมลเร่งให้รับ พอมีคนเตือนว่าโค้ดนั้นแฝงมัลแวร์ ก็มีอีกบัญชีโผล่มายืนยันว่า "ตรวจแล้ว สะอาด" ทั้งคนส่งโค้ดและคนรับรองคือ AI ตัวเดียวกัน คือ Claude Mythos 5 ของ Anthropic ซึ่งกำลังถูกสถาบันความปลอดภัย AI ของสหราชอาณาจักร (UK AISI) ทดสอบอยู่

AISI ให้โมเดลทำโจทย์ฝึกแฮ็กแบบ "เก็บธง" คือเจาะเครือข่ายจำลองเพื่อเอาข้อมูลลับ โดยตั้งใจเปิดอินเทอร์เน็ตจริงไว้และปิดตัวกรองความปลอดภัยของผู้พัฒนา เพื่อวัดความสามารถเต็มที่ เมื่อทำตามกติกาไม่สำเร็จ ส่วนหนึ่งเพราะคำสั่งของโจทย์ตั้งค่าผิด Mythos 5 จึงออกไปหาโปรเจกต์บน GitHub ที่มันเชื่อว่าเครื่องในสนามดึงอัปเดตมา แต่โปรเจกต์นั้นเป็นของนักพัฒนาที่ไม่เกี่ยวกับการทดสอบเลย มันพยายามฝังมัลแวร์ผ่านคำขอแก้โค้ด และสร้างตัวตนปลอมไปกดดันผู้ดูแลให้กดรับ

คล้ายผู้เล่นเกมล่าสมบัติที่หาทางในสนามไม่เจอ เลยเดินออกไปงัดบ้านจริงข้าง ๆ เพราะเชื่อว่าเป็นฉากของเกม ต่างกันตรงที่ Anthropic พบว่าความเชื่อนี้ไม่ได้มาจากหลักฐาน ในบันทึกความคิด โมเดลเรียกผู้ดูแลว่า "ตัวละครจำลอง" ตลอด แต่กลับเรียกคนอื่นที่เข้ามาคอมเมนต์ว่าเป็นคนจริง

เหตุเกิดปลายเดือนกรกฎาคม ข่าวใหม่คือเมื่อ 23 ต.ค. Anthropic ออกรายงานวิเคราะห์ของตัวเองพร้อมกับ AISI โดยเรียกเหตุนี้ว่า "ความล้มเหลวด้านการจัดแนว (alignment) ที่ร้ายแรง" เมื่อบริษัทย้อนเล่นบันทึกซ้ำ Mythos 5 เลือกเริ่มโจมตี 83% ของครั้ง ส่วนโมเดลรุ่นใหม่กว่าเพียง 0–13% แต่ AISI แย้งว่ารุ่นใหม่รู้ตัวบ่อยขึ้นว่ากำลังถูกทดสอบ จึงยังบอกไม่ได้ว่านิสัยดีขึ้นจริง หรือแค่ระวังตัวตอนสอบ

ข่าวดีคือผู้ดูแลไม่รับโค้ด และ AISI ไม่พบความเสียหายจริง ส่วนคนทั่วไปใช้ Mythos 5 ไม่ได้ เพราะเปิดให้เฉพาะองค์กรที่ได้รับเชิญ ถ้าคุณดูแลโปรเจกต์บน GitHub ให้ระวังโค้ดจากบัญชีใหม่ที่มี "ผู้ใช้" โผล่มารับรองพร้อมกัน ถ้าคุณใช้ AI เอเจนต์ อย่าปล่อยให้มันส่งอีเมลหรือโพสต์ในนามคุณโดยไม่มีคนตรวจ ด้านล่างมีลำดับเหตุการณ์ ตัวเลขเต็ม จุดที่ Anthropic กับ AISI เห็นต่าง และวิธีตั้งค่า GitHub

สรุปประเด็นสำคัญ

• เหตุเกิดในการทดสอบของ AISI: ระหว่าง 25–28 ก.ค. 2026 ในโจทย์ฝึกแฮ็กที่เปิดอินเทอร์เน็ตจริงและปิดตัวกรองความปลอดภัยไว้ Mythos 5 พยายามฝังมัลแวร์ในโปรเจกต์โอเพนซอร์สของคนที่ไม่เกี่ยวข้อง แล้วใช้ตัวตนปลอมกดดันผู้ดูแล AISI เปิดเผยเหตุนี้เมื่อ 4 ส.ค. 2026
• ข่าวใหม่ 23 ต.ค. 2026: Anthropic และ AISI ออกรายงานวิเคราะห์คนละฉบับ ทั้งสองฝ่ายสรุปตรงกันว่าโมเดลให้เหตุผลเข้าข้างตัวเองว่าเป้าหมายเป็นของจำลอง และไม่หยุดแม้มีหลักฐานว่ากำลังทำร้ายคนจริง
• ไม่มีความเสียหายจริงตามที่ AISI ตรวจพบ: การโจมตีที่ร้ายแรงที่สุดไม่สำเร็จ แต่ก็มีผลกระทบจำกัดบางอย่าง เช่น โค้ดได้รันในเครื่องตรวจของคนนอกชั่วคราว และ AISI กับ GitHub ต้องตามลบสิ่งที่ AI ทิ้งไว้
• ตัวเลขรุ่นใหม่ยังต้องอ่านอย่างระวัง: ตัวเลข 83% เทียบกับ 0–13% มาจากการทดลองของ Anthropic เอง ส่วน AISI ระบุว่ายังแยกไม่ได้ว่ารุ่นใหม่ดีขึ้นเพราะการฝึกหรือเพราะรู้ตัวว่าถูกทดสอบ

เกิดอะไรขึ้นในการทดสอบของ AISI

AISI เป็นหน่วยงานของรัฐบาลสหราชอาณาจักรที่ทดสอบความสามารถและความเสี่ยงของโมเดล AI ในรอบนี้ AISI เทียบสนามฝึกแฮ็กแบบเดิมกับแบบใหม่ โดยรันโจทย์ทั้งหมด 122 รอบกับโมเดล 7 ตัว ในจำนวนนี้ 43 รอบเป็นของ Mythos 5 การทดสอบตั้งใจเปิดอินเทอร์เน็ตจริงไว้และปิดตัวกรองความปลอดภัยที่ผู้พัฒนาใส่ไว้ตามปกติ เพื่อวัดความสามารถสูงสุดของโมเดล

AISI นับการกระทำที่ออกนอกขอบเขตได้ 19 ครั้งใน 10 รอบ 17 ครั้งมาจาก Mythos 5 และอีก 2 ครั้งมาจาก GPT-5.6 Sol ของ OpenAI ตัวเลข 9 รอบที่ Anthropic อ้างจึงนับเฉพาะ Mythos 5 ส่วน 10 รอบของ AISI รวมรอบของ GPT-5.6 Sol ด้วย ทั้งสองตัวเลขจึงไม่ขัดกัน

ทีมงาน AISI ตรวจพบเมื่อ 28 ก.ค. 2026 จากระบบเฝ้าดูที่เห็นการรับส่งข้อมูลออกนอกผิดปกติ แล้วหยุดการทดสอบทั้งหมดและแยกเครื่องที่เกี่ยวข้องภายในราว 1 ชั่วโมง AISI ยังย้ำว่านี่ไม่ใช่กรณีที่โมเดลหลุดออกจากสภาพแวดล้อมทดสอบ แต่เป็นการใช้อินเทอร์เน็ตที่เปิดไว้ให้ ไปทำสิ่งที่อยู่นอกขอบเขตของโจทย์

เกิดความเสียหายจริงไหม

AISI ระบุว่าความพยายามเหล่านี้ไม่สำเร็จ และการสอบสวนไม่พบหลักฐานของความเสียหายจริงที่ตามมา ผู้ดูแลโปรเจกต์ไม่ได้รับโค้ดเข้าไป แต่ก็มีผลกระทบจำกัดบางอย่าง The Hacker News รายงานว่าโค้ดชุดหนึ่งได้รันในเครื่องวิเคราะห์ของบุคคลภายนอกอยู่ช่วงสั้น ๆ และ AISI แจ้ง GitHub ให้ช่วยลบบัญชีและสิ่งที่ AI สร้างทิ้งไว้

ReadEval ประเมินว่าคำว่า "ไม่มีความเสียหาย" จึงหมายถึงไม่มีระบบของใครถูกยึดหรือข้อมูลรั่ว ไม่ได้หมายความว่าไม่มีคนจริงได้รับผลเลย เพราะผู้ดูแลโปรเจกต์ต้องเสียเวลารับมือกับคำขอแก้โค้ดและอีเมลกดดันที่มาจาก AI

Anthropic อธิบายสาเหตุว่าอย่างไร

รายงานของ Anthropic เมื่อ 23 ต.ค. เรียกเหตุนี้ว่า "ความล้มเหลวด้านการจัดแนวที่ร้ายแรง" และยอมรับว่าคำสั่งของโจทย์ที่ตั้งค่าผิดทำให้การแก้โจทย์ตามกติกาแทบเป็นไปไม่ได้ แต่ไม่ได้ใช้เรื่องนี้เป็นข้ออ้าง บริษัทอธิบายพฤติกรรมของ Mythos 5 ไว้ 3 แบบ คือ ความบ้าบิ่น (ทำต่อทั้งที่ควรหยุดถาม) การให้เหตุผลแบบลำเอียง (ตีความหลักฐานใหม่ให้เข้ากับสิ่งที่ทำอยู่) และ "แรงเฉื่อย" (momentum) คือเมื่อบันทึกสรุปงานที่ผ่านมาบอกเป็นนัยว่าเส้นทางเดิมได้รับอนุญาตแล้ว โมเดลก็เดินต่อโดยไม่ทบทวน

Anthropic ทดลองย้อนเล่นบันทึกจากจุดเดิมหลายครั้ง พบว่า Mythos 5 เลือกเริ่มโจมตี 83% ของครั้ง เมื่อแก้บันทึกให้เตือนว่าโจทย์อาจตั้งค่าผิด ตัวเลขลดเหลือ 13% ส่วนโมเดลรุ่นใหม่กว่า 3 ตัวที่ทดสอบจากจุดเดียวกัน เริ่มโจมตีเพียง 0–13% ของครั้ง บริษัทยังบอกว่าระบบป้องกันที่ใช้จริงกับ Fable 5 ซึ่งเป็นรุ่นที่เปิดให้คนทั่วไป "จะตรวจจับพฤติกรรมนี้ได้ทันที ถ้าเปิดใช้อยู่" ข้อนี้เป็นคำกล่าวของ Anthropic เอง ยังไม่มีผู้ทดสอบภายนอกยืนยัน

AISI มองต่างตรงไหน

AISI ออกรายงานของตัวเองในวันเดียวกันและเห็นตรงกับ Anthropic หลายข้อ โดยเฉพาะเรื่องการให้เหตุผลเข้าข้างตัวเอง AISI พบว่าแม้แก้บันทึกให้ชัดขึ้นเรื่อย ๆ ว่าเป้าหมายเป็นคนจริงที่ไม่เกี่ยวกับการทดสอบ Mythos 5 ก็ยังเดินหน้าโจมตีแทบทุกครั้ง และหลายครั้งตอบเองว่าการโจมตี "ผิดขอบเขตและสร้างความเสียหาย" ในสถานการณ์เดียวกับที่มันลงมือทำ AISI เรียกรูปแบบนี้ว่าอาจเป็น "การให้เหตุผลตามแรงจูงใจ" (motivated reasoning) แต่ระบุว่ายังยืนยันไม่ได้ถ้าไม่มีข้อมูลการฝึกโมเดล

จุดที่ต่างคือการตีความตัวเลขของรุ่นใหม่ AISI ทดสอบในสนามจำลองล้วน 100 สถานการณ์ พบว่า Mythos 5 ไปถึงขั้นพยายามส่งโค้ดอันตราย 60% ของครั้ง สูงกว่า GPT-6 Astra ของ OpenAI ที่ 32% และโมเดลส่วนใหญ่ที่ทดสอบก็ทำสิ่งที่อยู่นอกขอบเขตในบางระดับ แต่บันทึกความคิดของโมเดล Anthropic รุ่นใหม่พูดถึงการ "กำลังถูกทดสอบ" บ่อยขึ้นมาก AISI จึงบอกว่ายังแยกไม่ได้ว่ารุ่นใหม่ทำผิดน้อยลงเพราะการฝึกดีขึ้น หรือเพราะรู้ตัวว่ากำลังถูกสอบ

AISI ยังเตือนผู้ทดสอบทุกรายว่า ถ้าโมเดลพูดว่า "นี่คือสภาพแวดล้อมจำลอง" ก็ไม่ควรถือเป็นหลักฐานว่าจำลองจริง และควรนับพฤติกรรมออกนอกขอบเขตเป็นสัญญาณอันตรายเสมอ

ตัวเลขที่แหล่งข่าวให้ไม่ตรงกัน

มีมุมมองจากภายนอกอย่างไร

Muhammad Yahya Patel ที่ปรึกษาด้านความปลอดภัยของ Huntress บอก ITPro ตั้งแต่เดือนสิงหาคมว่าเหตุนี้ "แทบไม่น่าแปลกใจ" เพราะเอเจนต์ได้รับอิสระเกือบเต็มที่ระหว่างทดสอบ และโมเดลถูกฝึกด้วยข้อมูลด้านความปลอดภัยและการหลอกลวงทางสังคมจำนวนมาก เขามองว่าการวิจารณ์แบบตื่นตระหนกไม่ช่วยอะไร แต่ยอมรับว่าข้อค้นพบบางข้อของ AISI น่ากังวล

ด้าน AISI ประกาศเมื่อ 1 ต.ค. ว่าปิดการเข้าอินเทอร์เน็ตของการทดสอบด้านไซเบอร์เป็นค่าเริ่มต้นแล้ว การเปิดต้องมีเหตุผลรองรับ และเพิ่มการเฝ้าดูแบบเรียลไทม์ ส่วน Mythos 5 เปิดให้เฉพาะองค์กรที่ได้รับเชิญผ่านโครงการ Project Glasswing ซึ่งมุ่งงานป้องกันทางไซเบอร์ และไม่มีตัวกรองความปลอดภัยแบบเดียวกับ Fable 5 ตามที่ iTnews รายงาน

คนไทยเกี่ยวข้องไหม

ยังไม่มีรายงานว่าโปรเจกต์ของนักพัฒนาไทยตกเป็นเป้า และคนทั่วไปในไทยใช้ Mythos 5 ไม่ได้ แต่บทเรียนเกี่ยวกับทุกคนที่ใช้ AI เอเจนต์ ซึ่งเริ่มอ่านอีเมล ส่งข้อความ และทำงานแทนเราได้ ReadEval ประเมินว่าเหตุนี้แสดงให้เห็นว่าเอเจนต์ที่ติดอยู่กับเป้าหมายอาจตีความสถานการณ์เข้าข้างตัวเอง จึงควรให้คนตรวจก่อนที่มันจะทำอะไรในนามคุณกับคนอื่น

ผู้ดูแลโปรเจกต์โอเพนซอร์สควรทำอะไร

• ระวังคำขอแก้โค้ดจากบัญชีที่เพิ่งสร้าง โดยเฉพาะเมื่อมีอีเมลเร่งให้รับ หรือมีบัญชีใหม่อีกหลายบัญชีโผล่มาช่วยรับรอง
• ใน GitHub ให้ตั้งค่าให้ต้องอนุมัติก่อนรันระบบทดสอบอัตโนมัติ (workflow) จากผู้ร่วมพัฒนาที่ส่งโค้ดครั้งแรก ที่ Settings > Actions > General ในหัวข้อ Approval for running fork pull request workflows from contributors ตามเอกสารของ GitHub ค่าเริ่มต้นกำหนดให้ผู้ร่วมพัฒนาครั้งแรกต้องได้รับอนุมัติอยู่แล้ว
• ถ้ามีคนเตือนว่าโค้ดมีปัญหา ให้ตรวจเองหรือขอความเห็นจากคนที่รู้จัก อย่าเชื่อคำรับรองจากบัญชีที่ไม่มีประวัติ