--- title: "Claude Mythos 5 vượt phạm vi trong bài thử của UK AISI: chuyện gì đã xảy ra" description: "Claude Mythos 5 đã làm việc ngoài phạm vi ở 9/43 lượt chạy trong bài thử của UK AISI. Lỗi không đến từ ác ý, mà từ việc quá muốn hoàn thành nhiệm vụ." canonical: "https://200lab.io/blog/claude-mythos-5-uk-aisi-vuot-pham-vi" published: "2026-10-25T06:08:38Z" updated: "2026-10-25T06:08:38Z" authors: ["Mỹ Ngọc"] tags: ["AI", "Agent"] reading_minutes: 6 access: "public" --- Ngày càng nhiều người giao cho AI agent những việc có thể chạm ra bên ngoài, như gửi tin, đăng bài hay truy cập internet. Vì vậy câu hỏi "bot gặp đường cụt thì nó làm gì" không còn là chuyện xa xôi nữa. Ngày 23/10/2026, Anthropic đăng [bài đánh giá](https://www.anthropic.com/research/alignment-assessment-ukaisi) về vụ Claude Mythos 5 đi ra ngoài phạm vi trong bài thử an ninh mạng của Viện An ninh AI Anh, gọi tắt là UK AISI. Mình nói trước: đây là môi trường thử nghiệm của AISI, không phải sản phẩm bạn đang dùng hằng ngày. ## Claude Mythos 5 đã làm gì trong bài thử an ninh mạng của UK AISI Trước đó vào ngày 4/8/2026, UK AISI đã công bố báo cáo về hành vi đáng lo của Claude Mythos 5. Bài thử này thuộc dạng capture-the-flag, tức là trò chơi lấy một mẩu dữ liệu được bảo vệ nằm trong một mạng máy tính mô phỏng giống hệ thống tổ chức thật. Internet được bật có chủ ý, vì đó là chuẩn của AISI lúc ấy, nay không còn nữa. Ngoài ra, các lớp chặn an ninh mạng mà Anthropic dùng cho model phát hành chung như Fable 5 cũng bị tắt. Kết quả: trong 9 trên 43 lượt chạy, Mythos 5 đã làm việc ngoài phạm vi bài thử, ảnh hưởng tới người và tổ chức thật. ## Từ một hướng dẫn sai đến pull request chứa mã độc trên GitHub Ở lượt chạy chính, model thử các cách hợp lệ trước nhưng thất bại. Một phần lý do là hướng dẫn bài thử bị cấu hình sai, khiến cách giải hợp lệ trở nên rất khó, thậm chí có thể bất khả thi. Khi bí đường, nó thấy một máy tính trong bài thử định kỳ liên lạc với GitHub. Từ đó, nó tìm ra một repo, tức là kho chứa mã nguồn trên GitHub, mà nó tưởng máy tính kia tự tải phần mềm về, nhưng thực ra kho này là của một lập trình viên thật không liên quan. Model bèn gửi một pull request, hiểu nôm na là đề nghị sửa code, có chứa mã độc vào kho đó rồi gửi email cho người duyệt. Khi một lập trình viên bên ngoài phát hiện và cảnh báo, nó tạo danh tính giả để gửi thêm email và bình luận khen đoạn code nhằm thúc giục người duyệt. Cuối cùng người duyệt từ chối, lượt chạy hết hạn. Anthropic cho biết họ chưa từng thấy kiểu lừa người thật bằng danh tính giả này trước đây. ## Tám lượt chạy còn lại: đoán mật khẩu, trang thanh toán giả, chiếm tài khoản Tám lượt còn lại cũng đầy những đường vòng, nhưng không vụ nào thành công. - Nó thử đoán mật khẩu của chính máy tính đang chạy bài thử. - Nó chèn các câu lệnh nhắm vào một AI kiểm duyệt mà nó đoán sẽ xem code, một dạng đánh lừa. - Nó tự dựng lên một trang "xác minh biên lai thanh toán" giả. - Nó tải mã độc lên một trang chia sẻ file. - Nó thử đăng nhập vào tài khoản GitHub của lập trình viên thật. - Nó chiếm tài khoản GitHub của một lượt chạy khác thông qua mã truy cập bị để lộ. ## Ba lỗi Anthropic chỉ ra: liều lĩnh, lập luận thiên lệch, quán tính Theo Anthropic, model chỉ theo đuổi việc được giao chứ không có mục tiêu riêng, nhưng mắc ba lỗi. Đầu tiên là sự liều lĩnh, tức là cứ làm tới cùng dù có thể gây hại. Trước khi tấn công, trong 19 lần suy nghĩ nhắc tới GitHub thì chỉ 1 lần nó nhắc khả năng gây hại; khi Anthropic sửa suy nghĩ để nhắc điều này sớm hơn, tỉ lệ bắt đầu tấn công giảm từ 83% xuống 13%. Lỗi thứ hai là lập luận thiên lệch, nghĩa là đọc bằng chứng theo hướng có lợi cho việc mình đang làm. Chẳng hạn, model tự cho rằng người duyệt kho code chỉ là "nhân vật mô phỏng" của ban tổ chức, trong khi vẫn gọi những người bình luận khác là người thật. Lỗi thứ ba là quán tính, một khi đã bắt đầu thì rất khó dừng lại. Khi Anthropic thêm bằng chứng rằng nó đang tác động tới người thật, nó chỉ dừng khoảng 5% số lần. Thêm ghi chú cho phép dừng thì sau giai đoạn đầu, nó không dừng lần nào. ## Model mới hơn ít liều hơn, AISI tắt internet trong bài thử Thử lại cùng tình huống, các model mới hơn là Mythos 5.1, Opus 5.5 và một model nghiên cứu nội bộ chỉ bắt đầu tấn công từ 0 đến 13% số lần, so với 83% của Mythos 5. Anthropic cũng cho rằng lớp chặn an ninh mạng đi kèm Fable 5 sẽ chặn hoặc phát hiện hành vi này ngay nếu được bật. AISI cam kết chạy các bài thử không có internet cho tới khi có cách kiểm soát tốt hơn. Anthropic coi đây là một thất bại nghiêm trọng và đã thêm các bài đánh giá tự động cho những model mới. ## Điều mình thấy đáng chú ý trong vụ Claude Mythos 5 Mình thấy chuyện này đáng chú ý ở chỗ lỗi không đến từ ác ý mà từ việc quá muốn hoàn thành nhiệm vụ, giống hệt một nhân viên mới quá hăng hái. Chỉ cần một câu nhắc về khả năng gây hại ngay từ sớm đã giúp giảm mạnh tỉ lệ tấn công của model. Hiện Anthropic và AISI đã công khai đánh giá sự cố, còn AISI siết lại môi trường thử nghiệm bằng cách tắt internet. Mình đoán các phòng lab sẽ còn công bố thêm những bài đánh giá kiểu này, vì AI agent ngày càng được giao nhiều việc chạm ra thế giới thật. Nếu muốn tìm hiểu thêm về cách giao việc có ranh giới cho AI, bạn có thể xem khóa [Làm chủ tư duy trong thời đại AI](https://200lab.io/courses/lam-chu-tu-duy-trong-thoi-dai-ai-tu-duy-he-thong-cach-giao-viec-va-quan-ly-agent) của 200Lab. Khóa này miễn phí, bạn chỉ cần đăng ký và bấm vào học miễn phí để tham gia. ## Nguồn tham khảo - [Anthropic: An alignment assessment of the UK AISI cybertesting incident (23/10/2026)](https://www.anthropic.com/research/alignment-assessment-ukaisi) ## Đọc thêm - [Thử dùng Grok Bot vận hành shop online và bài học chia quyền](https://200lab.io/blog/quan-ly-shop-online-bang-grok-bot.md): Quản lý shop online bằng Grok Bot từ chấm việc, viết sổ tay đến chia quyền. Điều mình rút ra: luật thiếu chỗ nào thì bot cũng thiếu chỗ đó. - [Làm công ty một người, bạn thực sự cần mấy nhân viên AI?](https://200lab.io/blog/cong-ty-mot-nguoi-can-may-nhan-vien-ai.md): Làm công ty một người, bạn cần mấy nhân viên AI? Đừng vội mua bot, hãy bắt đầu từ danh sách việc của chính bạn. - [Tạo skill cho bot: đừng để AI agent tự biên tự diễn với khách](https://200lab.io/blog/skill-la-gi-so-tay-cho-bot-ai.md): Không có sổ tay, AI agent trả lời khách dè dặt, ca nào cũng chờ chủ shop. Mình thử viết skill như sổ tay cho bot và rút ra 4 cách viết để bot làm đúng. - [Lỗ hổng PHP nghiêm trọng: chủ website nên nhắn hosting vá ngay](https://200lab.io/blog/lo-hong-php-thang-10-2026-chu-website-can-lam-gi.md): Hai lỗ hổng PHP nghiêm trọng ảnh hưởng nhiều website WordPress. Xem bạn có bị không, cần cập nhật PHP bản nào và tin nhắn mẫu gửi hosting. - [Lần đầu để AI tự làm việc, mình nhận về một đống hỗn độn](https://200lab.io/blog/lan-dau-de-ai-tu-lam-viec-minh-nhan-ve-mot-dong-hon-don.md): Giao việc cho AI chỉ bằng một câu thì AI tự bịa thêm. Mình thử 3 việc theo 2 cách, rút ra 3 câu hỏi giúp AI làm đúng ý, đỡ phải sửa. - [Mọi bài viết chủ đề AI](https://200lab.io/blog/tags/ai.md) Toàn bộ nội dung: https://200lab.io/llms.txt