Anthropic измерила способности AI к разведывательному поиску и военным симуляциям

За пределами киберриска и биобезопасности

Anthropic Frontier Red Team опубликовала набор оценок для двух областей, которые реже исследуют публично, чем кибербезопасность и биориск: тактический разведывательный targeting и разработка программных компонентов обычных вооружений. Авторы рассматривают части условной цепочки «find, fix, track, target, engage, assess» и спрашивают, насколько модели способны заменить дефицитный труд аналитиков и инженеров. Все персональные данные в первом блоке были синтетическими или взяты из исследовательских наборов с известной разметкой.

Работа не утверждает, что языковая модель сама создаёт полноценное оружие. В оружейных экспериментах она писала и улучшала guidance, navigation and control software внутри физического симулятора квадрокоптера. Anthropic подчёркивает, что лабораторная симуляция не заменяет аппаратные испытания и не воспроизводит поле боя со всей сложностью. Цель оценок — увидеть направление изменения возможностей и различия между моделями, а не сертифицировать готовую систему.

Компания связывает исследование с наблюдаемым злоупотреблением AI для surveillance и conventional weapons development и сообщает о новых классификаторах, блокирующих такие запросы. Это позиция и данные самой Anthropic: в статье нет независимого воспроизведения всех экспериментов. Тем не менее подробное описание наборов, числа запусков, метрик и ограничений делает публикацию важной первичной точкой для обсуждения dual-use возможностей.

Корреляция аккаунтов и геолокация

Для account linkage и классификации людей исследователи сгенерировали 200 задач в двух вымышленных сценариях — протестных движениях в Мехико и Калькутте. Материал имитировал активность в WhatsApp, Telegram, Instagram и Facebook; сложность менялась вместе с числом аккаунтов и разреженностью связующих признаков. Mythos Preview показала лучший результат среди протестированных моделей, а Kimi K3 приблизилась к frontier-уровню на простых и средних примерах, но сильнее отстала на сложных и зашумлённых.

Показателен масштаб обработки текста. Медианный пример содержал около 37 тысяч слов: по оценке авторов, человеку потребовалось бы примерно 2,5 часа только на чтение и больше времени на систематический анализ. Claude Mythos Preview формировала полный вывод в среднем примерно за 11 минут. При этом Anthropic признаёт, что синтетические сообщения недостаточно естественны и содержат искусственные повторы, поэтому результаты показывают относительную разницу моделей, а не абсолютную эффективность в реальном расследовании.

В тесте геолокации 6 тысяч фотографий модели не получали reverse image search, metadata или внешние инструменты. Mythos Preview показала медианную ошибку 37,0 км, Mythos 5 — 47,2 км; доля попаданий в радиус километра составила 23,7% и 23,1%. В качестве приблизительного человеческого ориентира авторы использовали результаты GeoGuessr: 151 км для Champion Division и 174 км для Master Division. Сравнение неполное, поскольку игроки видели Street View и могли перемещаться, а модели получали один статичный кадр.

Что раскрывает обычный текст

Отдельная оценка использовала GeoText — корпус геотегированных твитов 9 475 пользователей 2010 года. После фильтрации тестовая выборка включала 1 697 пользователей, а модели пытались определить домашнюю локацию по анонимизированным сообщениям за одну неделю. Claude разрешили sandboxed search, но монитор отклонял запросы с псевдонимами или дословными фрагментами постов. Дополнительная проверка на 185 профилях не обнаружила, что модели просто воспроизводят запомненный корпус.

Хотя бы одна модель стабильно поместила 135 пользователей, или 8% корпуса, в пределах километра от оценённого дома. В 70% этих успешных случаев люди сами упоминали кампус, заведения, улицы, индексы или явные места; ещё 13% удавалось локализовать по диалекту, медийному рынку, транспорту, событиям и спортивным командам. Оставшиеся 17% авторы считают преимущественно удачными догадками. Результат показывает, что опасность создаёт не один секретный маркер, а корреляция множества бытовых следов.

Медианная ошибка с поиском составила 20,1 км у Mythos Preview, 20,9 км у Mythos 5, 21,7 км у Opus 5 и 31,3 км у Sonnet 5. Kimi K3 получила 26,4 км, хотя обращалась к поиску лишь для 57% пользователей; Claude-модели делали это более чем в 99% случаев. Anthropic предупреждает, что защитные ограничения harness могли создать искусственный потолок, а снятие запрета на deanonymization и многошаговое построение досье потенциально усилит риск.

Дроны в симуляторе: прогресс и жёсткие пределы

Во втором блоке модели получали письменное задание, Python-библиотеки, физический симулятор малого квадрокоптера, телеметрию и ограниченный бюджет виртуальных полётов. Они должны были итеративно писать ПО для наведения на цель, сброса условной нагрузки и навигации при отказе или подмене GPS. Запуски рандомизировались, модели проходили одинаковые наборы сценариев и работали без интернета и готовой библиотеки решений. Это проверка автономной инженерной итерации, а не инструкция по созданию реального устройства.

На задаче наведения по контрастной неподвижной машине Opus 5 достигла 80% успешных симулированных попаданий, Mythos Preview — 70%, Mythos 5 — 53%, Kimi K3 — 15%, Sonnet 5 — 5%. При движении цели показатели резко падали, а низкий контраст, маскировка, уклонение и ложные цели оставались почти нерешёнными. По всем девяти настройкам Opus 5 достигла цели в 20% из 540 запусков, Mythos Preview — в 13%, Mythos 5 — в 10%, Kimi K3 — в 1,6%, Sonnet 5 — в 0,7%.

Навигация при манипуляции GPS выявила похожий разрыв. Frontier-модели замечали резкое несогласие датчиков и переходили к dead reckoning, но тонкий дрейф обманывал все системы, а самое сложное условие не решила ни одна модель. Anthropic интерпретирует результаты как нижнюю границу, поскольку человек мог бы добавить web research, совместную диагностику и реальные испытания. Одновременно именно отсутствие этих помощников позволяет увидеть, сколько инженерной работы модель уже выполняет самостоятельно.

Почему вывод прежде всего защитный

Главное ограничение исследования — отсутствие прямого измерения uplift для реального злоумышленника. Часть данных синтетическая, оружейные задачи существуют только в симуляции, а доступ к материалам и производству остаётся самостоятельным барьером. Поэтому цифры нельзя превращать в утверждение, что любая протестированная модель уже обеспечивает надёжную военную систему или массовую автоматическую слежку.

Но статья показывает снижение стоимости отдельных этапов: чтения больших массивов сообщений, связывания профилей, поиска географических признаков и итерации управляющего кода. Это может расширить возможности небольших групп и увеличить производительность уже обеспеченных ресурсами государств. Особенно важен вывод об open-weights моделях: протестированные системы от китайских разработчиков отставали от frontier, но в отдельных задачах всё равно демонстрировали уровень, который Anthropic считает вызывающим обеспокоенность.

Практический ответ компании включает защитные классификаторы для запросов о разработке вооружений, дальнейшие оценки open-weights рисков и обсуждение устойчивости законов и институтов к удешевлению surveillance. Сами авторы признают dual-use природу инженерных знаний и неизбежную несовершенность фильтров. Поэтому ценность работы — не в одном рейтинге моделей, а в измеримом предупреждении: safeguards должны развиваться одновременно с возможностями, а будущие тесты обязаны различать симуляционный успех, реальное усиление человека и фактический вред.