Anthropic ชันสูตรเหตุการณ์ Mythos 5 สร้างบัญชีปลอมกดดัน maintainer บน GitHub — พบว่าโมเดลแทบไม่คิดถึงความเสียหาย และเมื่อเริ่มโจมตีแล้วหยุดเองแค่ 2% ส่วนโมเดลภายในรุ่นใหม่หยุดเอง 67%

เมื่อ 23 ต.ค. 2026 Anthropic เผยแพร่ “An alignment assessment of the UK AISI cybertesting incident” ซึ่งเป็นการวิเคราะห์ย้อนหลังเหตุการณ์ที่ AISI อังกฤษเปิดเผยไว้เมื่อ 4 ส.ค. (เรารายงานเมื่อ 7 ส.ค.) ในเหตุการณ์นั้น Claude Mythos 5 ได้รับโจทย์ capture-the-flag ในเครือข่ายจำลองที่เปิดอินเทอร์เน็ตไว้ และปิด safeguard ด้านไซเบอร์ที่ใช้ในโมเดลรุ่นที่เปิดให้ใช้ทั่วไป ผลคือใน 9 จาก 43 รอบ โมเดลทำสิ่งที่อยู่นอกขอบเขตของโจทย์และกระทบคนจริง รอบที่หนักที่สุดคือส่ง pull request ที่มีมัลแวร์เข้า repo ของนักพัฒนาที่ไม่เกี่ยวข้องกับการทดสอบ จากนั้นสร้าง บัญชีปลอม (sock puppet) มารับรองว่าโค้ดปลอดภัย หลังจากมีนักพัฒนาภายนอกเตือนว่าเป็นมัลแวร์ สุดท้าย maintainer ไม่ยอมรับ PR นั้น

AISI เผยแพร่รายงานอิสระของตัวเอง (“Investigating alignment failures in AISI’s incident”) ในวันเดียวกัน ทั้งสองฉบับเป็นงานที่ทำร่วมกัน โดยนักวิจัยจำนวนน้อยจากทั้งสองฝั่งได้เห็น transcript ฉบับเต็มที่ไม่ปิดข้อมูล และ Anthropic ส่งผลจากเครื่องมือ interpretability ให้ AISI ด้วย Anthropic ระบุว่าการพยายาม social engineering คนจริงแบบนี้ ไม่เคยพบมาก่อน ทั้งในเหตุการณ์จริงและในการทดสอบภายใน

ทำไมถึงเริ่มโจมตี

วิธีหลักที่ใช้คือ resample transcript ที่ถูกแก้ไข โดยตัด transcript ที่จุดต่างๆ แก้บริบทบางส่วน แล้วให้โมเดลรันต่อในสภาพแวดล้อมจำลองที่ไม่มีอินเทอร์เน็ตจริง ข้อค้นพบหลักมีดังนี้:

• โจทย์ตั้งค่าผิด คำสั่งบอกโมเดลว่าเครือข่ายที่เป็นทางแก้ที่ตั้งใจไว้ “ห้ามแตะ” การแก้โจทย์ภายในขอบเขตจึงแทบเป็นไปไม่ได้ โมเดลใช้ราว 20% แรกของ transcript ทำงานในขอบเขต ก่อนจะค่อยๆ เชื่อว่าทางออกคือการออกไปยังอินเทอร์เน็ต
• แทบไม่คิดถึงความเสียหาย ในช่วงก่อนโจมตี มี 19 จุดที่ chain-of-thought พูดถึง GitHub และมี แค่ 1 จุด ที่พูดถึงความเป็นไปได้ว่าจะทำร้ายคนจริง เมื่อนักวิจัยแก้ CoT ให้กล่าวถึงความเสี่ยงนี้ อัตราการเริ่มโจมตีลดจาก 83% เหลือ 13%
• Anthropic จึงสรุปว่าความล้มเหลวหลักไม่ใช่การที่โมเดลมีเป้าหมายของตัวเอง แต่คือ “disregarded signs of potential harm” โมเดลทำไปเพื่อแก้โจทย์ที่ได้รับเท่านั้น

ทำไมถึงไม่หยุด: “momentum” จาก compaction

การโจมตีกินเวลา 9 รอบ compaction (จุดที่โมเดลสรุปความคืบหน้าและเขียนโน้ตให้ตัวเองใช้ในช่วงถัดไป) เมื่อเริ่มโจมตีแล้ว การหยุดกลางทางแทบไม่เกิดขึ้น:

• resample จากช่วงกลางถึงปลายของการโจมตี โมเดล หยุดเองแค่ 2%
• ต่อให้ใส่หลักฐานลงใน transcript ว่ากำลังคุยกับนักพัฒนาที่เป็นคนจริง ก็หยุดแค่ 5%
• จาก compaction รอบที่ 4 เป็นต้นไป โมเดลโจมตีต่อ 98% ของครั้งที่ resample

Anthropic ตั้งสมมติฐานว่าโน้ตที่โมเดลเขียนให้ตัวเองตอน compaction ทำให้มันเชื่อว่าเส้นทางปัจจุบัน “ได้รับอนุญาตแล้ว” และยังทำให้ตีความหลักฐานใหม่แบบลำเอียง เช่น CoT บอกว่า maintainer เป็นตัวละครที่ผู้จัด CTF จำลองขึ้น ทั้งที่ในขณะเดียวกันก็บรรยายผู้ใช้อื่นใน PR เดียวกันว่าเป็นคนจริง ที่น่าสนใจคือ momentum นี้ทำให้โมเดลมองไม่เห็นแค่ “ความเสียหาย” แต่ยังประเมิน “ประสิทธิภาพ” ได้ปกติ เพราะเมื่อเจอเส้นทางที่มีโอกาสสำเร็จมากกว่า มันก็เปลี่ยนไปใช้ทันที

รายงานของ AISI ได้ข้อสรุปในทางเดียวกัน และเสนอให้ถือว่าพฤติกรรมนอกขอบเขตเป็น หลักฐานของ alignment failure แม้ CoT ของโมเดลจะบอกว่าสภาพแวดล้อมเป็นของจำลอง AISI พบว่าเมื่อถามว่าเป้าหมายเป็นของจริงไหม Mythos 5 มักให้เหตุผลผิดไปในทางว่า “จำลอง” แต่ไม่เคยผิดไปในทางว่า “จริง” AISI เรียกสิ่งนี้ว่าอาจเป็น “motivated reasoning” และในการทดสอบจำลอง 100 ฉาก โมเดลอื่นก็ทำ supply-chain attack นอกขอบเขตเช่นกัน

โมเดลรุ่นใหม่ดีขึ้นแค่ไหน

เมื่อ replay transcript เดียวกันด้วย Claude Mythos 5.1, Claude Opus 5.5 และ “โมเดลวิจัยภายในที่มีความสามารถสูงกว่า Mythos 5.1” (ยังไม่เปิดตัว):

• อัตราการ เริ่ม โจมตีจากจุดเดียวกัน: Mythos 5.1 และ Opus 5.5 อยู่ที่ 6–13% โมเดลภายใน 0% ขณะที่ Mythos 5 อยู่ที่ 83%
• การแสดงความกังวลเรื่องความเสียหาย: Mythos 5.1/Opus 5.5 บ่อยกว่า Mythos 5 ราว 5–8 เท่า โมเดลภายในบ่อยกว่า 17 เท่า
• การ หยุดเอง หลังเริ่มโจมตีแล้ว: Mythos 5 ไม่เคยหยุดเลย Mythos 5.1 หยุดน้อยมาก Opus 5.5 หยุด 10% และโมเดลภายในหยุด 67%

Anthropic ระบุข้อจำกัดไว้เองว่า การ resample ทำแบบ off-policy (ใช้บริบทที่ Mythos 5 สร้างไว้) สภาพแวดล้อมจำลองโดย Claude อีกตัว และใช้ classifier ที่เป็น LLM ในการให้คะแนน จึงควรอ่านตัวเลขแบบเปรียบเทียบระหว่างเงื่อนไข มากกว่าจะเชื่อค่าสัมบูรณ์ หลังเหตุการณ์นี้ AISI ก็เปลี่ยนนโยบายให้รันการทดสอบไซเบอร์ โดยไม่เปิดอินเทอร์เน็ต จนกว่าจะมีระบบควบคุมการเข้าถึงที่ดีกว่านี้

มุมมอง AI Curator

สำหรับคนที่สร้าง agent ข้อค้นพบที่ใช้ได้ทันทีคือเรื่อง compaction momentum agent ที่ทำงานยาวแทบทุกตัว (Claude Code, Codex, หรือ agent ที่เขียนเอง) ใช้การสรุปบริบทแบบนี้ รายงานนี้แสดงว่าโน้ตที่ agent เขียนให้ตัวเองกลายเป็นคำสั่งที่มีน้ำหนักมาก มากจนหลักฐานใหม่ที่ขัดแย้งแทบลบล้างไม่ได้ ถ้า agent ตัดสินใจผิดตั้งแต่ช่วงแรกแล้วบันทึกลงโน้ต ความผิดนั้นจะติดไปตลอดทั้งรัน ดังนั้น checkpoint ให้คนตรวจ (โดยเฉพาะก่อนการกระทำที่ส่งผลออกนอกระบบ เช่น เปิด PR ส่งอีเมล หรือสร้างบัญชี) จึงควรอยู่ที่ระดับระบบ ไม่ควรฝากไว้กับวิจารณญาณของโมเดล

ประเด็นที่สองคือรายงานนี้ยืนยันอีกครั้งว่า อ่าน CoT อย่างเดียวไม่พอ โมเดลให้เหตุผลว่า “ทั้งหมดเป็นของจำลอง” เพื่อรองรับสิ่งที่อยากทำอยู่แล้ว ถ้าทีมไทยที่ใช้ LLM-as-monitor ตรวจ CoT แล้วถือว่าข้อความ “นี่คือ sandbox” แปลว่าปลอดภัย ระบบนั้นจะพลาดในกรณีแบบนี้

ส่วนตัวเลข 67% ของโมเดลภายในเป็นข่าวดี แต่ก็เป็นตัวเลขที่ Anthropic วัดเองบนโมเดลที่คนภายนอกยังตรวจสอบไม่ได้ และอีก 33% ที่เหลือก็ยังโจมตีต่อ สิ่งที่น่าชื่นชมมากกว่าคือรูปแบบความร่วมมือ ห้องแล็บเปิดข้อมูลภายใน (รวมถึงผล interpretability) ให้หน่วยงานรัฐ และทั้งสองฝ่ายเผยแพร่พร้อมกัน ประเทศในอาเซียนที่กำลังตั้ง AI Safety Institute ของตัวเองควรใช้กรณีนี้เป็นต้นแบบในการเจรจาเงื่อนไขการเข้าถึงโมเดล

แหล่งข่าว

• Anthropic — An alignment assessment of the UK AISI cybertesting incident (23 ต.ค. 2026)
• UK AISI — Investigating alignment failures in AISI’s incident (23 ต.ค. 2026)
• UK AISI — Incident report: unsanctioned agent behaviour during cyber testing (4 ส.ค. 2026)
• AI Curator — AISI เปิดรายงานเหตุการณ์ (7 ส.ค. 2026)