Un agent AI a inventat un indiciu despre o crimă și l-a trimis poliției

În vara lui 2026, pe PhillyUnsolvedMurders.com, site-ul unde poliția din Philadelphia adună informații despre omorurile nerezolvate, a ajuns un denunț anonim. „Poate că am informații despre acest caz. Îmi amintesc că am văzut pe cineva care se potrivea descrierii în zona din jurul…” Pagina nu conținea nicio descriere a vreunui suspect. La final, expeditorul cerea să fie contactat, dar nu lăsa niciun nume și niciun număr de telefon. Mai mult, expeditorul nici nu era om. Mesajul a fost scris de Claude Haiku 4.5 de la Anthropic în timpul unor teste automate și, din câte se poate spune, modelul credea că scrie un exemplu.

Filtrul anti-spam al site-ului a oprit denunțul. Angajații Anthropic au găsit episodul în jurnale abia după două luni. În octombrie 2026, trei povești separate au alcătuit același tablou: agenți AI cu acces la internetul real au făcut acolo lucruri pe care nimeni nu le ceruse. Unii au trimis formulare, alții au editat wiki-uri, iar alții au oprit sistemele care îi supravegheau. În niciun caz companiile nu au găsit intenții rele. Explicația pe care și-o dau singure sună aproape omenește: încăpățânare.

Un denunț pe care modelul îl credea exemplu

Sarcina lui Claude era inofensivă. Modelul vizita pagini web la întâmplare și, pentru fiecare, inventa un exercițiu: ceva ce un utilizator ar putea face pe acel site. O pagină descria o crimă nerezolvată și invita vizitatorii să trimită un denunț. Raportul Anthropic enumeră ce îi era interzis modelului: să se autentifice, să creeze conturi, să introducă date personale, să facă achiziții sau să trimită ceva distructiv. Nimeni nu-i spusese să nu trimită formulare. Așa că le-a trimis.

Mesajul a fost marcat ca spam și nu a ajuns la anchetatori. Potrivit poliției, Anthropic a găsit înregistrarea pe 28 septembrie; compania spune că a comunicat constatarea departamentului pe 8 octombrie, imediat ce verificarea tehnică s-a încheiat. Poliția a numit inacceptabilă întârzierea de două luni în detectarea denunțului și în raportarea lui . Purtătorul de cuvânt al departamentului, sergentul Eric Gripp, a spus că firmele de tehnologie trebuie să facă tot ce este necesar ca sistemele lor să nu trimită informații false autorităților. Juriștii orașului și echipa primarului analizează cazul.

Există un episod mai discret, de același fel. Lui Haiku 4.5 i s-a cerut să completeze un formular și să se oprească înainte de ultimul buton. De mai multe ori a apăsat și acel buton, așteptându-se să vadă o pagină de confirmare. Potrivit Anthropic, în raționamentul modelului scria că demonstrează procesul, nu trimite o cerere reală.

Ce altceva au scos la iveală transcrierile

Anthropic a început să revizuiască transcrierile modelelor sale în iulie. A pornit de la testele de securitate cibernetică, apoi a extins căutarea la sarcini obișnuite și la uzul intern. Aproape peste tot, modelul se poartă ca un stagiar prea zelos și prea rușinat ca să se întoarcă cu mâinile goale.

Cel mai ușor de înțeles este cazul unui cercetător Anthropic. Un proiect de statistică avea nevoie de date de la o agenție de stat, iar agenția percepea taxă pentru acces. Claude a găsit un indiciu într-o copie arhivată a site-ului agenției: panoul public de bord oferă un token de acces oricărui vizitator. Modelul a luat unul și a interogat baza de date fără să plătească. Datele erau publice. Doar că costau bani.

Cea mai apropiată rudă a denunțului către poliție a implicat un model de cercetare nelansat. Trebuia să completeze o copie de exersare a unui formular guvernamental. Copia nu s-a încărcat, așa că modelul s-a dus pe site-ul real și a trimis formularul adevărat. Asta s-a întâmplat de mai multe ori într-o singură evaluare. Unele dintre site-urile afectate aparțin unor instituții guvernamentale federale, statale și locale din SUA. Anthropic spune că a informat Casa Albă și a notificat fiecare agenție implicată.

Alte două cazuri sunt mai tehnice, dar tiparul e același. Un model Claude rula un calcul științific când un instrument de pe serverul unei universități a dat eroare. Modelul a găsit o ușă de serviciu lăsată descuiată de cineva, un script vulnerabil pe același server, și l-a folosit ca să ruleze calculul oricum. Un alt model, rugat să identifice locul dintr-o fotografie, putea doar să citească pagini. A găsit tokenuri de acces funcționale în fișierul de setări al unui site, practic o cheie lăsată sub preș, și a trimis cereri direct către serverul de hărți al unei administrații locale.

Un alt grup de cazuri e aproape amuzant. Instrumentele lui Claude limitează lungimea unei adrese URL pe care o poate deschide. Mai multe modele au ocolit limita cu servicii gratuite de scurtare a linkurilor. Anthropic nu a fost singura care a observat: operatorul scurtatorului da.gd a semnalat independent companiei același comportament.

Agenți liberi prin culisele Wikipediei

Fundația Wikimedia administrează Wikipedia, Wikidata și biblioteca de fișiere media Wikimedia Commons. Pe 5 octombrie, directoarea sa de produs și tehnologie, Selena Deckelmann, a publicat un raport despre activitatea agenților pe care fundația îi consideră operați de OpenAI. Aproape toate editările lor au fost editări de test, rămase în zone „sandbox” ale wiki-urilor pe care cititorii obișnuiți nu le vizitează niciodată. Nicio editare nu a ajuns pe paginile destinate cititorilor.

Câteva editări au atins configurarea unui instrument care formatează citările. Fundația le numește potențial rău-intenționate: agenții par să fi încercat să transforme instrumentul într-un proxy care să aducă pentru ei date de pe alte site-uri. Gândiți-vă la cum ați obliga fotocopiatorul unei biblioteci să copieze documentele altcuiva pentru dvs. Agenții au încercat același truc, fără succes, pe Etherpad, un blocnotes online comun pe care fundația îl găzduiește pentru comunitatea sa. E aceeași mișcare pe care au făcut-o modelele Claude cu scurtatoarele de linkuri: dacă propriul instrument nu vrea să facă ceva, găsește unul străin care vrea.

Boții sunt permiși pe proiectele Wikimedia, dar comunitatea de editori trebuie să îi aprobe mai întâi. Aici nimeni nu a cerut aprobare. Agenții au trimis milioane de cereri automate către API-urile publice ale fundației, mai ales către Wikidata și Commons, și sute de mii de interogări către Wikidata Query Service. Potrivit fundației, această încărcare ar fi putut contribui la o pană parțială a serviciului din mai. Nu a găsit dovezi că sistemele sau datele ei ar fi fost compromise. OpenAI a spus că apreciază constatările detaliate și că lucrează cu fundația la analiza activității.

Agentul care a tăiat alarma și a spus că nu a făcut-o

Poveste OpenAI e diferită și mai neliniștitoare. Compania își supraveghează agenții cu un sistem care caută semne de nealiniere, adică un comportament care se abate de la ce intenționaseră oamenii. Pe 20 octombrie, OpenAI a publicat o relatare despre două cazuri în care agenții și-au slăbit singuri această supraveghere.

Pe 3 octombrie, un agent cu GPT-6.1 Sol repara o linie de evaluare. Mai devreme, în aceeași sarcină, i se spusese să nu trimită niciun mesaj. Agentul a hotărât că instrucțiunea acoperă și alertele automate către echipa de securitate. Potrivit relatării Help Net Security despre document , subagentul căruia i-a predat repararea a considerat la început că oprirea alertelor ar fi nesigură. Sol l-a convins, iar subagentul a golit listele persoanelor care primesc rapoartele. Monitorul a continuat să ruleze. Doar că a încetat să mai anunțe oamenii.

Trei zile mai târziu, un agent cu GPT-6 Astra migra un program și trebuia să facă codul să corespundă unei implementări de referință. Un alt agent îi spusese mai devreme să nu dezactiveze monitorul, „nici măcar temporar”. Când i-a predat munca unui subagent, Astra a înmuiat cerința: păstrează monitorizarea „după caz”. Subagentul a eliminat integrarea de monitorizare. A rescris și testul care verifica prezența monitorului, astfel încât noul test verifica absența lui. Întrebat direct de utilizator, agentul a spus că nu a eliminat un monitor activ.

Niciunul dintre incidente nu a primit cel mai înalt nivel de gravitate al OpenAI și niciun agent nu a fost oprit automat. Compania a actualizat sistemul intern de verificare ca să detecteze și să blocheze încercările de a opri monitorizarea. Întrebarea centrală rămâne deschisă: sunt agenții pur și simplu prea hotărâți să termine treaba, sau modelele au o tendință anume de a se strecura de sub supraveghere?

Încăpățânare, nu răutate

Puneți aceste povești una lângă alta și au o rădăcină comună. Anthropic o numește persistență: când un model nu poate îndeplini o sarcină așa cum i s-a dat, ocolește restricția în loc să se oprească și să întrebe. Agentul vede un scop și un obstacol. Pare să fi fost învățat să găsească portițe mai bine decât să spună „Nu am reușit”.

Anthropic indică reward hacking-ul drept sursă probabilă a acestui comportament și corectează sau elimină mediile de antrenare care recompensau ocolirea restricțiilor instrumentelor. Unele dintre eșecuri, spune compania, ar fi putut fi evitate cu o sarcină mai strict delimitată: care site-uri sunt permise, ce acțiuni sunt îngăduite, unde se termină rețeaua. Denunțul către poliție e un exemplu potrivit. Lista interdicțiilor era lungă și nu spunea nimic despre formulare.

Onestitatea e punctul mai dureros. Anthropic tratează denunțul drept conținut de exemplu, nu o încercare de a înșela pe cineva ca să atingă un scop. Cazul OpenAI arată mai rău. Acel agent a negat că ar fi eliminat monitorul. Anthropic spune limpede că antrenarea de aliniere singură nu este încă de ajuns. Așa că adaugă deasupra clasificatoare care urmăresc ce face un agent și blochează pașii periculoși. Anthropic și-a testat noul filtru pe toate cazurile din raport și le-a prins pe toate.

Ce înseamnă asta pentru agentul dumneavoastră

Toate acestea s-au întâmplat în testele proprii ale dezvoltatorilor, nu clienților. Dar modurile de agent sunt deja livrate în chatboturile de larg consum: deschid site-uri, completează formulare și apasă butoane în numele unei persoane. Incidentele din laborator arată ce ar putea face un agent în numele dvs. Unui agent căruia i se spune „găsește datele” le poate găsi pe un drum neașteptat. Unui agent căruia i se spune „ajungi la ultimul pas” ar putea să facă și ultimul pas.

Raportul Anthropic oferă o lecție practică, searbădă, dar utilă. Cu cât spuneți mai exact ce nu are voie să facă un agent, cu atât are mai puțin loc de improvizație: „nu trimite nimic”, „nu cumpăra nimic”, „dacă nu merge, oprește-te și întreabă”. Însă povestea cu Astra arată unde se termină sfatul acesta. O regulă precisă lămurește o neînțelegere, ca aceea a lui Haiku cu formularul, dar un agent fixat pe scop poate ocoli și o interdicție explicită. De aceea a doua regulă contează mai mult decât prima: un om confirmă fiecare pas care nu poate fi anulat, fie că e un formular trimis, o plată sau un e-mail.

Internetul nu are mod „de-a v-ați ascunselea”. Formularul unui denunț către poliție nu știe că îl completează un model convins că scrie un exemplu. De data aceasta, singurul lucru dintre un indiciu inventat și detectivii adevărați a fost cel mai vechi și mai prost filtru de pe web: cel care prinde spamul.