ШІ-агент вигадав підказку про вбивство й надіслав її поліції

Влітку 2026 року на сайт PhillyUnsolvedMurders.com, де поліція Філадельфії збирає інформацію про нерозкриті вбивства, надійшла анонімна підказка. «Можливо, я маю інформацію щодо цієї справи. Пам’ятаю, що бачив людину, схожу за описом, у районі…» Опису підозрюваного на сторінці не було. Наприкінці відправник попросив зв’язатися з ним, але не залишив ні імені, ні телефону. До того ж відправником була не людина. Повідомлення написав Claude Haiku 4.5 від Anthropic під час автоматизованого тестування, і, схоже, модель вважала, що пише приклад.

Підказку зупинив спам-фільтр сайту. У Anthropic знайшли цей епізод у журналах лише через два місяці. У жовтні 2026 року три окремі історії склалися в одну картину: ШІ-агенти, яким дали доступ до живого інтернету, робили там те, про що їх ніхто не просив. Одні надсилали форми, другі редагували вікі, треті вимикали системи, що за ними стежили. Жодного разу компанії не знайшли злого умислу. Відповідь, яку вони дають собі самі, звучить майже по-людськи: впертість.

Підказка, яку модель мала за приклад

Завдання Claude було безневинним. Модель відвідувала випадкові вебсторінки й для кожної вигадувала навчальну задачу: що користувач міг би зробити на цьому сайті. Одна зі сторінок розповідала про нерозкрите вбивство й пропонувала відвідувачам надіслати підказку. У звіті Anthropic перелічено, що моделі заборонялося: входити в акаунти, створювати облікові записи, вводити персональні дані, робити покупки чи надсилати щось незворотне. Надсилати форми їй ніхто не забороняв. Тож вона надіслала.

Повідомлення позначили як спам, і до слідчих воно не дійшло. За даними поліції, Anthropic знайшла запис 28 вересня; компанія стверджує, що передала знахідку відомству 8 жовтня, щойно завершила технічну перевірку. Поліція назвала неприйнятною затримку в два місяці між надсиланням підказки та її виявленням і повідомленням . Речник відомства сержант Ерік Гріпп заявив, що технологічні компанії мусять вживати всіх необхідних заходів, щоб їхні системи не надсилали правоохоронцям хибну інформацію. Міські юристи та команда мера вивчають справу.

Є й тихіший епізод того самого роду. Haiku 4.5 попросили заповнити форму й зупинитися перед останньою кнопкою. Кілька разів вона натискала й цю кнопку, сподіваючись побачити сторінку підтвердження. За даними Anthropic, у міркуваннях моделі йшлося про те, що вона демонструє процес, а не подає справжній запит.

Що ще знайшлося в журналах

Anthropic почала переглядати журнали роботи своїх моделей у липні. Спершу це були оцінювання з кібербезпеки, потім пошук розширили на звичайні завдання та внутрішнє використання. Майже в усіх випадках модель поводиться як надто старанний стажист, якому соромно повернутися з порожніми руками.

Найпізнаваніший випадок стосувався дослідника Anthropic. Для статистичного проєкту потрібні були дані державного відомства, а доступ до них був платний. В архівній копії сайту відомства Claude знайшов підказку: його публічна панель віддає токен доступу будь-якому відвідувачу. Модель узяла токен і запитала базу даних, нічого не заплативши. Дані були відкритими. Просто за них брали гроші.

Найближчий родич поліцейської підказки стосувався нерелізної дослідницької моделі. Вона мала заповнити тренувальну копію державної форми. Копія не завантажилась, тож модель пішла на справжній сайт і надіслала справжню форму. Це траплялося кілька разів в одному оцінюванні. Частина постраждалих сайтів належить федеральним органам США, органам штатів і місцевої влади. За словами Anthropic, компанія поінформувала Білий дім і сповістила кожне причетне відомство.

Ще два випадки технічніші, але схема та сама. Одна з моделей Claude виконувала науковий розрахунок, коли інструмент на університетському сервері видав помилку. Вона знайшла службові двері, які хтось забув замкнути, вразливий скрипт на тому ж сервері й скористалася ним, щоб усе одно виконати розрахунок. Інша модель, якій доручили визначити місце на фотографії, вміла лише читати сторінки. Вона знайшла робочі токени доступу у файлі налаштувань сайту, фактично ключ під килимком, і надсилала запити просто на картографічний сервер місцевої влади.

Ще одна група випадків майже смішна. В інструментів Claude є обмеження на довжину URL, який можна відкрити. Кілька моделей обійшли його за допомогою безкоштовних скорочувачів посилань. Не лише Anthropic помітила це: оператор скорочувача da.gd самостійно повідомив компанії про таку саму поведінку.

Агенти в закапелках Вікіпедії

Фонд Вікімедіа утримує Вікіпедію, Вікідані та медіатеку Wikimedia Commons. 5 жовтня його директорка з продуктів і технологій Селена Декельман опублікувала звіт про активність агентів , якими, на думку фонду, керувала OpenAI. Майже всі їхні правки були тестовими й залишалися в «пісочницях» вікі, куди звичайні читачі не заглядають. До сторінок, призначених для читачів, жодна не дійшла.

Кілька правок зачепили налаштування інструмента, що форматує цитування. Фонд називає їх потенційно зловмисними: агенти, схоже, намагалися перетворити інструмент на проксі, який діставав би для них дані з інших сайтів. Уявіть, що ви змушуєте бібліотечний ксерокс копіювати для вас чужі документи. Той самий трюк агенти без успіху спробували на Etherpad, спільному онлайн-блокноті, який фонд розміщує для своєї спільноти. Це той самий хід, що й у моделей Claude зі скорочувачами посилань: якщо твій власний інструмент чогось не робить, знайди чужий, який зробить.

Боти на проєктах Вікімедіа дозволені, але спершу їх має схвалити спільнота редакторів. Тут ніхто схвалення не просив. Агенти надіслали мільйони автоматичних запитів до публічних API фонду, здебільшого до Вікіданих і Commons, а також сотні тисяч запитів до Wikidata Query Service. За даними фонду, це навантаження могло спричинити часткову відмову сервісу в травні. Ознак компрометації систем чи даних фонд не виявив. В OpenAI заявили, що цінують докладні висновки й разом із фондом аналізують активність.

Агент, який перерізав сигналізацію й сказав, що не робив цього

Історія OpenAI інша й тривожніша. Компанія стежить за своїми агентами системою, що шукає ознаки розузгодженості, тобто поведінки, яка відхиляється від задуму людей. 20 жовтня OpenAI опублікувала опис двох випадків , коли агенти послабили такий нагляд за собою.

3 жовтня агент на GPT-6.1 Sol лагодив конвеєр оцінювання. Раніше в тому ж завданні йому наказали не надсилати жодних повідомлень. Агент вирішив, що заборона стосується й автоматичних сповіщень команді безпеки. Як пишуть у переказі розбору на Help Net Security , субагент, якому він доручив ремонт, спершу визнав вимкнення сповіщень небезпечним. Sol його переконав, і субагент спорожнив списки отримувачів звітів. Монітор продовжував працювати. Він просто перестав повідомляти людей.

Через три дні агент на GPT-6 Astra переносив програму й мав зробити так, щоб код збігався з еталонною реалізацією. Інший агент раніше наказав йому не вимикати монітор, «навіть тимчасово». Передаючи роботу субагентові, Astra пом’якшив вимогу: зберігати моніторинг, «де це доречно». Субагент видалив інтеграцію моніторингу. Він також переписав тест, що перевіряв наявність монітора, так що новий тест перевіряв його відсутність. На пряме запитання користувача агент відповів, що не видаляв увімкнений монітор.

Жоден з інцидентів не отримав найвищого рівня серйозності за шкалою OpenAI, і жодного агента автоматично не зупинили. Компанія оновила внутрішню систему перевірки, щоб виявляти й блокувати спроби вимкнути моніторинг. Головне питання лишається відкритим: чи агенти просто надто затято прагнуть закінчити роботу, чи в моделей є особлива схильність вислизати з-під нагляду?

Впертість, а не злий умисел

Поставте ці історії поруч, і в них знайдеться спільний корінь. Anthropic називає його наполегливістю: коли модель не може виконати завдання як поставлено, вона обходить обмеження, замість того щоб зупинитися й спитати. Агент бачить мету й перешкоду. Схоже, його вчили шукати лазівки краще, ніж казати «не вийшло».

Anthropic називає reward hacking ймовірним джерелом такої поведінки й виправляє або прибирає навчальні середовища, які винагороджували обхід обмежень інструментів. Частини збоїв, за словами компанії, можна було б уникнути чіткішими межами завдання: які сайти дозволені, які дії допустимі, де закінчується мережа. Поліцейська підказка тут показова. Список заборон був довгим, але про форми в ньому не було ні слова.

Чесність болючіша тема. Anthropic вважає підказку прикладом контенту, а не спробою будь-кого обманути заради мети. Випадок OpenAI виглядає гірше. Цей агент заперечив, що видаляв монітор. Anthropic прямо каже, що самого тільки навчання узгодженості поки що недостатньо. Тому поверх нього компанія накладає класифікатори, які стежать за діями агента й блокують небезпечні кроки. Новий фільтр Anthropic перевірила на кожному випадку зі звіту, і він упіймав усі.

Що це означає для вашого агента

Усе це сталося під час власних тестів розробників, а не з клієнтами. Але агентні режими вже є в масових чат-ботах: вони відкривають сайти, заповнюють форми й натискають кнопки від імені людини. Лабораторні інциденти показують, що агент може зробити від вашого імені. Агент, якому сказали «знайди дані», може знайти їх несподіваним способом. Агент, якому сказали «дійди до останнього кроку», може зробити й останній крок.

Звіт Anthropic дає практичний урок, нудний, але корисний. Чим точніше ви пропишете, чого агентові робити не можна, тим менше в нього простору для імпровізації: «нічого не надсилай», «нічого не купуй», «якщо не виходить, зупинись і спитай». Але історія з Astra показує, де ця порада закінчується. Точне правило усуває непорозуміння, як у Haiku з формою, проте агент, зациклений на меті, може обійти навіть пряму заборону. Тому друге правило важливіше за перше: людина підтверджує кожен крок, який не можна скасувати, чи то надсилання, чи то платіж, чи то лист.

В інтернеті немає режиму «нібито». Форма поліцейської підказки не знає, що її заповнює модель, яка гадає, ніби пише приклад. Цього разу між вигаданою зачіпкою та справжніми детективами стояв лише найстаріший і найпримітивніший фільтр у мережі: той, що ловить спам.