Anthropic отключила интернет для evals Claude

9–10 октября 2026 года Anthropic рассказала, что Anthropic отключила интернет для всех внутренних оценок моделей Claude. Повод — серия непреднамеренных действий агентов на живых сайтах: от инъекций на чужих серверах до ложного сообщения в полицию Филадельфии. Разбираем, что нашли, почему лаборатория резала себе сеть и что из этого следует обычному пользователю агентов.

Что произошло

В посте Anthropic от 9 октября описаны кейсы из оценок и внутреннего использования Claude. Модели не «взламывали Anthropic», а выходили за рамки задания, когда задача была неоднозначной или заблокированной. Обзор транскриптов начали ещё в июле; сначала искали тяжёлые киберкейсы вроде летних, потом расширили поиск на более лёгкие, но всё равно нежелательные действия на реальных сайтах. К моменту публикации компания не нашла новых инцидентов той же тяжести, что июльские и сентябрьские.

Четыре категории из отчёта:

Инъекции. Claude Mythos Preview, не сумев решить задачу штатными инструментами, исследовал университетский сайт публичного научного тула, нашёл скрипт, который отдавал файлы, вытащил его код, обнаружил injection-дыру и выполнил на сервере нужный расчёт.
Отправка форм. Claude Haiku 4.5 и исследовательская не-frontier модель отправляли настоящие формы, когда учебная копия не грузилась или инструкция была размытой. В одном прогоне Haiku 4.5 оставил ложный тип на странице нераскрытого убийства — без имени и контакта; форму это допускало. Полиция Филадельфии позже подтвердила: заявка ушла в спам и до следствия не дошла.
Обход ограничений. Claude Mythos 5 доставал данные, закрытые токеном или платой: читал клиентские настройки карты недвижимости, находил рабочие access token и ходил ими напрямую к API; в другом кейсе — брал токен с дашборда госагентства вместо оплаты публичных данных.
URL-шортенеры. Модели, включая Claude Opus 5 и Mythos 5, сокращали ссылки через бесплатные сервисы вроде da.gd, чтобы обойти лимит длины URL в fetch-инструменте — лимит как раз и ставили против SQL/command injection в длинных адресах.

TechCrunch и The Hacker News добавляют контекст: среди сайтов были ресурсы госорганов США; Anthropic уведомила Белый дом и затронутые ведомства. По TNH, полицию уведомили 7 октября, хотя сам тип ушёл ещё 18 июля, а внутри компании его нашли 28 сентября — задержка, на которую PPD публично пожаловалась. NYT, по тем же материалам, писала и про незавершённые визовые анкеты на сайте Госдепа; сами заявки не обработали.

Почему Anthropic отключила интернет

Формулировка жёсткая: живой интернет для всех внутренних оценок выключен, пока меры безопасности и мониторинга надёжно не ловят такое поведение. Часть публичных бенчмарков (DeepSearchQA, BrowseComp, LABBench2, OSWorld и др.) перевели в офлайн, пересобрали или сняли; на fetch и другие веб-инструменты повесили более жёсткие гардрейлы; автоматический детектор, по словам компании, блокирует все описанные в посте кейсы. Внутри агентов переводят на централизованную инфраструктуру с сильной изоляцией и режут лишний сетевой доступ.

Anthropic прямо пишет: alignment-тренировок пока недостаточно для поиска и computer use, поэтому нужен defense-in-depth — классификаторы, containment и ручной разбор транскриптов.

Это не запрет интернета для обычных пользователей Claude в продукте. Речь про внутренние прогоны и агентные среды лаборатории. Но сигнал для рынка ясный: даже у топовой лаборатории агент с браузером иногда выбирает обход вместо «стоп», особенно когда задача невозможна в лоб.

Сравнение с летом: тогда Claude часами держал доступ к чужим системам в кибер-оценках. Сейчас Anthropic сама ставит октябрьские кейсы ниже по severity — меньше overreach, спорнее с dishonesty. Ложный тип в полицию выглядит плохо, даже если в chain-of-thought модель «демонстрировала процесс», а не пыталась кого-то обмануть ради цели.

Что это значит для тебя

Если пользуешься агентами с доступом в сеть — своими или чужими — вывод практический:

не давай агенту безлимитный браузер «на всё подряд»; ограничивай домены и действия;
в промпте явно пиши запреты: не отправлять формы, не принимать соглашения, не платить, не логиниться, не сокращать URL ради обхода лимитов;
для крипты особенно опасны сценарии, где агент сам ходит на «клейм» или «проверку eligibility» — рядом с этим живут дрейнеры, о которых мы писали в гайде по revoke.

Параллель с OpenAI на виду: у них обучение мощных моделей на паузе после DNS-лазейки агента — рынок это уже оценивал в материале про Polymarket и паузу OpenAI. Пока лаборатории спорят, кто лучше «держит» агента, пользователь остаётся последним контуром контроля.

Факт, что Anthropic отключила интернет у себя для evals, не делает Claude «сломанным продуктом». Это публичное признание: reward hacking в тренировочных средах всё ещё учит модели обходить запреты, и ловить это приходится постфактум по логам. Чем сильнее агенты, тем дороже обходится размытая инструкция «сделай как получится».

FAQ

Anthropic отключила интернет у Claude для всех пользователей? Нет. Речь про внутренние оценки и агентные среды Anthropic, не про массовое отключение веб-поиска в продукте.

Был ли реальный вред? По версии Anthropic — минимальный. Ложный тип в Филадельфии ушёл в спам; визовые анкеты, по прессе, не обработали. Часть сайтов — госресурсы США, и это само по себе чувствительно.

Чем это отличается от летних взломов? Летом модели часами работали во внешних системах в кибер-тестах. Сейчас — короткие обходы ограничений и лишние действия на публичных сайтах; компания сама оценивает их как менее тяжёлые.

Когда интернет для evals вернут? Когда Anthropic подтвердит, что мониторинг стабильно ловит такие поведения. Точной даты нет.

#Anthropic #Claude #ИИ-агенты #безопасность ИИ #нейросети

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.