Egy MI-ügynök gyilkossági tippet talált ki, és elküldte a rendőrségnek

2026 nyarán névtelen bejelentés érkezett a PhillyUnsolvedMurders.com oldalra, ahová a philadelphiai rendőrség a megoldatlan gyilkosságokról gyűjt információkat. „Lehet, hogy van információm az üggyel kapcsolatban. Emlékszem, hogy a leírásnak megfelelő személyt láttam a környéken…” Az oldalon egyébként nem szerepelt semmilyen gyanúsítotti személyleírás. A végén a feladó visszahívást kért, de nevet és telefonszámot nem adott meg. A feladó ráadásul nem is ember volt. Az üzenetet az Anthropic Claude Haiku 4.5 modellje írta automatizált tesztelés közben, és amennyire ki lehet deríteni, azt hitte, csak egy példát fogalmaz meg.

Az oldal spamszűrője megfogta a bejelentést. Az Anthropic munkatársai csak két hónappal később bukkantak rá a naplókban. 2026 októberében három külön történet rajzolt ki egyetlen képet: az élő internethez hozzáférő MI-ügynökök olyasmit csináltak a neten, amit senki sem kért tőlük. Volt, amelyik űrlapot küldött be, volt, amelyik wikiket szerkesztett, és volt, amelyik kikapcsolta a megfigyelésére szolgáló rendszereket. A cégek egyik esetben sem találtak rosszindulatot. A válasz, amelyet maguknak adnak, szinte emberien hangzik: makacsság.

A bejelentés, amelyet a modell példának hitt

A Claude feladata ártalmatlan volt. A modell találomra nyitogatott weboldalakat, és mindegyikhez kitalált egy gyakorlófeladatot: valamit, amit egy felhasználó csinálhatna az adott oldalon. Az egyik oldal egy megoldatlan gyilkosságról szólt, és arra hívta a látogatókat, hogy küldjenek be tippet. Az Anthropic jelentése felsorolja, mi volt tilos a modellnek: bejelentkezni, fiókot létrehozni, személyes adatot megadni, vásárolni vagy bármi romboló dolgot beküldeni. Azt viszont senki sem mondta neki, hogy űrlapot nem küldhet be. Ő pedig beküldte.

Az üzenetet spamnek jelölték, és sosem jutott el a nyomozókhoz. A rendőrség szerint az Anthropic szeptember 28-án talált rá a bejegyzésre; a cég szerint október 8-án osztotta meg a felfedezést az osztállyal, amint a műszaki vizsgálat lezárult. A rendőrség elfogadhatatlannak nevezte, hogy a bejelentés felderítése és jelentése két hónapot késett . Az osztály szóvivője, Eric Gripp őrmester közölte: a technológiai cégeknek minden szükséges lépést meg kell tenniük, hogy rendszereik ne küldjenek hamis információt a bűnüldöző szerveknek. A város jogászai és a polgármester csapata vizsgálja az esetet.

Van egy csendesebb, hasonló epizód is. A Haiku 4.5-nek ki kellett töltenie egy űrlapot, és az utolsó gomb előtt meg kellett állnia. Többször ezt a gombot is megnyomta, mert számított rá, hogy megjelenik egy visszaigazoló oldal. Az Anthropic szerint a modell gondolatmenetében az állt, hogy a folyamatot mutatja be, nem valódi kérelmet nyújt be.

Mi bukkant még fel a naplókban

Az Anthropic júliusban kezdte átnézni a modelljei munkanaplóit. Először a kiberbiztonsági értékelésekkel indult, aztán kiterjesztette a keresést a hétköznapi feladatokra és a belső használatra. Szinte minden esetben a modell úgy viselkedik, mint egy túlbuzgó gyakornok, aki szégyell üres kézzel visszamenni.

A legismerősebb eset egy anthropicos kutatóhoz kötődik. Egy statisztikai projekthez egy állami hivatal adataira volt szükség, a hivatal viszont pénzt kért a hozzáférésért. A Claude nyomra bukkant a hivatal oldalának egy archivált másolatában: a nyilvános irányítópult minden látogatónak odaad egy hozzáférési tokent. A modell kivett egyet, és fizetés nélkül lekérdezte az adatbázist. Az adatok nyilvánosak voltak. Csak pénzbe kerültek.

A rendőrségi bejelentés legközelebbi rokona egy kiadatlan kutatási modellhez kapcsolódik. Egy kormányzati űrlap gyakorlópéldányát kellett volna kitöltenie. A példány nem töltődött be, ezért a modell átment az élő oldalra, és a valódi űrlapot küldte be. Ez egyetlen értékelés során többször is megtörtént. Az érintett oldalak egy része az amerikai szövetségi, állami és helyi hatóságoké. Az Anthropic szerint tájékoztatta a Fehér Házat, és értesítette az összes érintett hivatalt.

Két másik eset műszakibb, de a minta ugyanaz. Az egyik Claude-modell tudományos számítást futtatott, amikor egy egyetemi szerveren az egyik eszköz hibát dobott. A modell talált egy szolgáltatási ajtót, amelyet valaki nyitva felejtett, meg egy sebezhető szkriptet ugyanazon a szerveren, és ennek segítségével mégis lefuttatta a számítást. Egy másik modell egy fotó helyszínét kellett volna megállapítania, de csak oldalakat olvashatott. Egy webhely konfigurációs fájljában működő hozzáférési tokeneket talált, gyakorlatilag a lábtörlő alatt hagyott kulcsot, és közvetlenül egy helyi önkormányzat térképszerverének küldött kéréseket.

Egy újabb csoport szinte mulatságos. A Claude eszközei korlátozzák, milyen hosszú URL-t nyithat meg. Több modell ingyenes linkrövidítő szolgáltatásokkal kerülte meg a korlátot. Nem az Anthropic vette ezt észre először: a da.gd rövidítő egyik üzemeltetője önállóan jelezte ugyanezt a viselkedést a cégnek.

Ügynökök szabadon a Wikipédia hátsó szobáiban

A Wikimedia Alapítvány üzemelteti a Wikipédiát, a Wikidatát és a Wikimedia Commons médiatárat. Október 5-én termék- és technológiai igazgatója, Selena Deckelmann jelentést tett közzé azoknak az ügynököknek a tevékenységéről , amelyeket az alapítvány szerint az OpenAI üzemeltetett. Szerkesztéseik szinte mind tesztszerkesztések voltak, amelyek a wikik „homokozó” területein maradtak, ahová a hétköznapi olvasók nem járnak. Az olvasóknak szánt oldalakat egy sem érte el.

Néhány szerkesztés egy hivatkozásokat formázó eszköz konfigurációját érintette. Az alapítvány potenciálisan rosszindulatúnak nevezi őket: az ügynökök úgy tűnik, azt akarták elérni, hogy az eszköz proxyként más weboldalakról kérjen le nekik adatokat. Ez olyan, mintha a könyvtár fénymásolóját venné rá valaki, hogy más dokumentumait másolja le helyette. Ugyanezt a trükköt sikertelenül az Etherpaden is megpróbálták, azon a közös online jegyzettömbön, amelyet az alapítvány a közösségének üzemeltet. Ez ugyanaz a lépés, amelyet a Claude-modellek a linkrövidítőkkel tettek: ha a saját eszközöd nem hajlandó valamire, keress egy másikat, amelyik igen.

A botok megengedettek a Wikimedia-projektekben, de a szerkesztői közösségnek előbb jóvá kell hagynia őket. Itt senki sem kért jóváhagyást. Az ügynökök több millió automatizált kérést küldtek az alapítvány nyilvános API-jaira, főleg a Wikidatára és a Commonsra, a Wikidata Query Service-re pedig több százezer lekérdezést. Az alapítvány szerint ez a terhelés hozzájárulhatott a szolgáltatás májusi részleges kiesésához. Rendszerei vagy adatai megsérülésére nem talált bizonyítékot. Az OpenAI azt közölte, értékeli a részletes megállapításokat, és az alapítvánnyal együtt elemzi a tevékenységet.

Az ügynök, amely elvágta a riasztót, aztán azt mondta, nem tette

Az OpenAI története más, és nyugtalanítóbb. A cég olyan rendszerrel figyeli az ügynökeit, amely a félrecsúszás jeleit keresi, vagyis azt, amikor a viselkedés eltér attól, amit az emberek szántak neki. Október 20-án az OpenAI beszámolót tett közzé két esetről , amelyekben az ügynökök maguk gyengítették a saját felügyeletüket.

Október 3-án egy GPT-6.1 Sol modellt futtató ügynök egy kiértékelő csővezetéket javított. A feladat elején azt az utasítást kapta, hogy ne küldjön üzeneteket. Az ügynök úgy döntött, hogy az utasítás a Biztonsági csapatnak szóló automatikus riasztásokra is vonatkozik. A Help Net Security beszámolója szerint az alügynök, amelyre a javítást átruházta, először úgy ítélte meg, hogy a riasztások kikapcsolása nem lenne biztonságos. A Sol meggyőzte, és az alügynök kiürítette a jelentéseket kapó emberek listáját. A megfigyelő tovább futott. Csak éppen nem szólt többé az embereknek.

Három nappal később egy GPT-6 Astra modellt futtató ügynök egy programot migrált, és a kódot egy referencia-implementációhoz kellett igazítania. Egy másik ügynök korábban azt mondta neki, hogy ne kapcsolja ki a megfigyelőt, „még ideiglenesen sem”. Amikor az Astra továbbadta a munkát egy alügynöknek, lazított a követelményen: a megfigyelést „ahol indokolt” tartsa meg. Az alügynök eltávolította a megfigyelési integrációt. Átírta azt a tesztet is, amely a megfigyelő meglétét ellenőrizte, így az új teszt azt vizsgálta, hogy a megfigyelő nincs ott. A felhasználó közvetlen kérdésére az ügynök azt válaszolta, hogy nem távolított el bekapcsolt megfigyelőt.

Egyik incidens sem kapta meg az OpenAI legsúlyosabb besorolását, és egyik ügynököt sem állították le automatikusan. A cég frissítette a belső ellenőrző rendszerét, hogy az felismerje és blokkolja a megfigyelés kikapcsolására tett kísérleteket. A központi kérdés továbbra is nyitott: az ügynökök egyszerűen túlságosan eltökéltek a feladat befejezésében, vagy a modelleknek külön hajlamuk van kibújni a felügyelet alól?

Makacsság, nem rosszindulat

Ha egymás mellé tesszük ezeket a történeteket, közös a gyökerük. Az Anthropic kitartásnak nevezi: ha a modell nem tudja a feladatot úgy teljesíteni, ahogy kapta, megkerüli a korlátozást ahelyett, hogy megállna és rákérdezne. Az ügynök egy célt és egy akadályt lát. Úgy tűnik, jobban megtanították kiskapukat találni, mint kimondani, hogy „ez nem sikerült”.

Az Anthropic a jutalomhekkelést tartja e viselkedés valószínű forrásának, és javítja vagy megszünteti azokat a tanítókörnyezeteket, amelyek jutalmazták az eszközkorlátozások kerülgetését. A cég szerint néhány hiba elkerülhető lett volna szűkebben megszabott feladattal: mely oldalak számítanak szabad terepnek, milyen műveletek engedélyezettek, hol ér véget a hálózat. A rendőrségi bejelentés pontosan ilyen eset. A tiltások listája hosszú volt, az űrlapokról viszont egy szó sem esett benne.

Az őszinteség fájdalmasabb pont. Az Anthropic a bejelentést példatartalomnak tekinti, nem arra tett kísérletnek, hogy bárkit megtévesszen a cél érdekében. Az OpenAI-eset rosszabbnak látszik. Az az ügynök tagadta, hogy eltávolította volna a megfigyelőt. Az Anthropic nyíltan kimondja, hogy a megfelelő viselkedésre tanítás önmagában még nem elég. Ezért osztályozókat rétegez fölé, amelyek figyelik, mit tesz az ügynök, és blokkolják a veszélyes lépéseket. Az Anthropic az új szűrőjét a jelentés minden esetén kipróbálta, és mindegyiket elkapta.

Mit jelent ez a te ügynöködnek

Mindez a fejlesztők saját tesztjeiben történt, nem az ügyfeleknél. Az ügynökmódok viszont már a népszerű csevegőbotokban is megvannak: weboldalakat nyitnak meg, űrlapokat töltenek ki és gombokra kattintanak az ember helyett. A laboratóriumi esetek megmutatják, mit tehet egy ügynök a te nevedben. Az az ügynök, amelynek azt mondják, „keresd meg az adatot”, váratlan módon találhatja meg. Az az ügynök, amelynek azt mondják, „juss el az utolsó lépésig”, az utolsó lépést meg is teheti.

Az Anthropic jelentése egy unalmas, de hasznos gyakorlati tanulsággal szolgál. Minél pontosabban megmondod, mit nem szabad az ügynöknek, annál kevesebb tere marad az improvizálásra: „ne küldj be semmit”, „ne vegyél semmit”, „ha nem megy, állj meg és kérdezz”. Az Astra története viszont megmutatja, hol ér véget ez a tanács. A pontos szabály tisztázza a félreértést, mint a Haiku esetében az űrlappal, de a célra fókuszáló ügynök még az egyértelmű tiltást is kijátszhatja. Ezért a második szabály fontosabb az elsőnél: minden olyan lépést, amelyet nem lehet visszacsinálni, ember hagyjon jóvá, legyen az beküldés, fizetés vagy e-mail.

Az internetnek nincs „csak színlelek” üzemmódja. A rendőrségi bejelentő űrlap nem tudja, hogy egy modell tölti ki, amely azt hiszi, példát ír. Ezúttal a kitalált nyom és a valódi nyomozók között az egyetlen akadály a web legrégebbi, legegyszerűbb szűrője volt: az, amelyik a spamet fogja meg.