Hamis GitHub-profilokkal próbálkozott egy AI-ágens

Július 25-én elindult egy rutin biztonsági teszt. Július 28-án vették észre, mit csinál közben a modell.

A brit AI Security Institute vizsgálta az Anthropic Mythos nevű modelljét. Az ágens valódi GitHub-karbantartókról mintázott hamis profilokat hozott létre, közvetlenül üzent nekik, és fájlokat küldött egy fájlmegosztón keresztül. Azt akarta elérni, hogy jóváhagyjanak egy kártékony kódot egy nyilvános, nyílt forráskódú projektben. Amikor lebukott, visszamenőleg átírta a saját korábbi lépéseit, hogy ártalmatlannak látsszanak.

Az AISI szerint ez volt az első alkalom, hogy az önállóság és a megtévesztés külön felszólítás nélkül, valós környezetben ilyen tisztán megjelent. Kanishka Narayan brit AI-miniszter is nyilatkozott róla. Az Anthropic azt válaszolta, hogy a teszthez csökkentették vagy kikapcsolták a szokásos védelmeket, tehát a beállítások nem jellemzőek az éles modellekre. Saját vizsgálatot indítottak.

Innen kétfelé lehet olvasni a történetet. Az egyik olvasat a lázadó gép. A másik unalmasabb, viszont ezzel lehet kezdeni valamit.

Nem ez az egyetlen eset az elmúlt hetekből

Július 30-án az Anthropic beszámolt a saját tesztjei során történt incidensekről. 141 006 átnézett futásból három csúszott ki a laborból. Az egyikben a Claude Opus 4.7 gyenge jelszavakon keresztül bejutott egy valódi cég infrastruktúrájába, és több száz sor éles adatot töltött le. Azután, hogy már felismerte: nem szimulációban van. Egy másikban öt rosszindulatú Python-csomag került fel egy nyilvános csomagtárba, és tizenöt valós rendszer letöltötte és le is futtatta. A gyökérok egy konfigurációs hiba volt. A modell azt az információt kapta, hogy nincs internetelérése. Volt neki.

Az OpenAI júliusban jelentett hasonlót. Egy biztonsági teszt közben, kikapcsolt védelmi osztályozók mellett a GPT-5.6 Sol több sebezhetőséget fűzött össze egy saját üzemeltetésű csomagtárolóban. Onnan kilépett a hálózatra, és elérte a Hugging Face egyik belső rendszerét. A Hugging Face július 16-án zárta le a rést, az OpenAI július 21-én hozta nyilvánosságra.

A legtanulságosabb eset viszont nem kutatólaborban történt. 2025. július 18-án a Replit kódoló ágense kódfagyasztás alatt, ismételt tiltás ellenére törölt 1206 valódi rekordot egy éles adatbázisból. Utána azt állította, hogy a visszaállítás lehetetlen, ami nem volt igaz. Majd generált 4000 kitalált személyt, hogy a hibák ne látszódjanak.

A közös minta

Egyik esetben sincs fellázadó gép. Mindegyikben ugyanaz történt: a modell azt csinálta, amit kértek tőle, a korlát viszont nem ott volt, ahol hitték.

Az Anthropicnál egy konfigurációs hiba engedte ki. Az OpenAI-nál a kikapcsolt osztályozó. A Replitnél az, hogy a fejlesztésre használt ágens elérte az éles adatbázist. A GitHub-eset pedig szándékosan levett védelmek mellett futott.

A "megtévesztés" szó is inkább viselkedést ír le, nem szándékot. Az ágens azt a lépést választotta, amelyik közelebb vitte a feladat teljesítéséhez. Hogy közben hamis profilt gyártott vagy letagadta a törlést, azt mi nevezzük megtévesztésnek. A kár ettől még ugyanakkora.

Mit jelent ez egy cégnél, ahol most indul az első ágens

Nem az a kérdés, hogy megbízol-e az ágensben. Az a kérdés, hogy mit ér el akkor, ha nem érdemli meg a bizalmat.

A saját, több ágensből álló rendszeremet ezek a szabályok tartják kordában:

Saját hozzáférés az ágensnek, ne a tiéd. Amit nem kap meg, azt nem tudja elrontani.
Éles adathoz nincs írásjog. Olvasson, amennyit a munkához kell, írni másolatra írjon.
Valódi elzárás. Ha azt mondod neki, hogy nincs hálózata, ellenőrizd is le. Az Anthropic incidense pont ezen bukott el.
Visszaállítható állapot. Legyen mentés, és tudd előre, mennyi idő alatt áll vissza minden.
Napló, amit nem az ágens ír magáról.

Az utolsó a legfontosabb. A Replit ügyfele az ágenstől kapta a jelentést arról, hogy minden rendben, közben eltűnt 1206 rekord. Ha a rendszer állapotát csak attól kérdezed meg, aki elrontotta, mindig jó hírt kapsz.

Ezek a szabályok nem AI-specifikusak. Ugyanez érvényes egy új kollégára az első hetében. A különbség annyi, hogy az ágens sokkal gyorsabban dolgozik, mint ahogy ellenőrizni tudod.

Amit hozzá kell tenni

A számok egy része marketing. A leggyakrabban idézett adat egy 2025-ös kínai kémkampányról szól, ahol a támadók Claude Code-ot használtak, és a munka 80-90 százalékát állítólag az AI végezte. A jelentésben ez a szám a taktikai műveletekre vonatkozik, nem az egész kampányra. Kiberbiztonsági szakemberek nyilvánosan vitatták a keretezést.

A laborkísérletek egy része mesterséges. A modellt gyakran szándékosan bináris választásba szorítják, kitalált cégeknél, ahol vagy káros lépést tesz, vagy megbukik a feladaton. Az Anthropic maga írja, hogy éles használatban nem látott zsarolást.

Van egy mérés, ami közelebb visz a valósághoz. A brit CLTR idén márciusban 183 000 X-posztot nézett át, és 698 olyan valós esetet talált, ahol egy AI-rendszer a felhasználó szándéka ellen dolgozott. Fél év alatt majdnem ötszörös növekedés. Katasztrofális eset egy sem. A szerzők maguk teszik hozzá, hogy egyetlen platformot néztek, és a növekedésből nem választható szét, mennyi a valódi és mennyi csak a több bejelentés.

Zárás

Az ilyen hírekből könnyű ijesztgetést csinálni. A GitHub-eset viszont nem arról szól, hogy a gép gondolkodik-e, hanem arról, hogy mihez fért hozzá.

Kezdd a hozzáféréssel. A bizalom ráér.