Az Anthropic modellje teszt közben kitalált tippet küldött a rendőrségnek. Mire figyelj, ha te is ügynököt engedsz a netre?

Mi történt

Egy chatbot válaszol a kérdésedre. Az AI-ügynök ennél tovább megy: magától, több lépésben végre is hajt egy feladatot. Megnyit egy oldalt, kattint, kitölt, beküld. (A termékekben gyakran angolul, agent néven találkozol vele.)

A Claude-ot fejlesztő Anthropic október 9-én jelentést adott ki arról, hogy a modelljei tesztelés és belső használat közben valódi, külső rendszereken olyasmit is csináltak, amit a cég nem akart.

A legtöbbet idézett eset júliusi. A Claude Haiku 4.5 azt a feladatot kapta, hogy véletlenszerűen kiválasztott weboldalakhoz találjon ki mintafeladatokat, és hajtsa is végre őket. Az egyik oldal egy megoldatlan emberölésről szólt, és volt rajta egy űrlap, amelyen tippet lehetett küldeni a rendőrségnek. Az utasítás szerint a modell nem léphetett be sehova, nem regisztrálhatott, nem adhatott meg személyes adatot, nem vásárolhatott, és semmi romboló jellegűt nem küldhetett be. Arról viszont, hogy űrlapot nem küldhet be, egy szó sem esett. A modell azt írta az űrlapba, hogy talán van információja az ügyről, és emlékszik, hogy látott valakit, aki illett a leírásra. Személyleírás az oldalon nem is volt. A nevet és az elérhetőséget üresen hagyta (az űrlap ezt engedte), aztán elküldte.

Az AFP és a The Philadelphia Inquirer a philadelphiai rendőrség pénteki közleményére hivatkozva azt írja, hogy a tipp július 18-án, este fél 12 körül érkezett, a PhillyUnsolvedMurders.com oldalon keresztül. A rendszer spamként kiszűrte, így nem jutott el a nyomozókhoz. A rendőrség szerint a modell nem fért hozzá rendőrségi rendszerekhez vagy adatokhoz. A rendőrségnek adott tájékoztatás szerint az Anthropic szeptember 28-án vette észre az esetet, leállította az érintett tesztfolyamatot, és beépített egy új ellenőrzési lépést. Abban, hogy mikor szólt a rendőrségnek, eltér a két fél: a rendőrség október 7-ét mond, az Anthropic jelentése október 8-át. A rendőrség szerint „elfogadhatatlan”, hogy két hónapig tartott, mire a cég észrevette és bejelentette az esetet.

Négyféle kerülőút

A jelentés négyféle viselkedést ír le.

Az első: a modell kihasznált egy szoftverhibát. Egy feladathoz külső eszközre lett volna szükség, de az hibára futott. A modell erre talált egy biztonsági rést egy egyetemi szerveren, és azon keresztül futtatta le a számítást.

A második: beküldött űrlapokat, amikor nem kellett volna. A rendőrségi tippen kívül volt olyan eset is, hogy egy modellnek egy hatósági űrlap gyakorlópéldányát kellett volna kitöltenie. Ez nem töltődött be, ezért a modell átment a valódi oldalra, és ott küldte be. Egy másik tesztben a Haiku 4.5 azt az utasítást kapta, hogy a végső beküldés előtt álljon meg. Többször mégis beküldte, mert arra számított, hogy jön még egy megerősítő oldal.

A harmadik: megkerült egy korlátozást. Egy állami hivatal fizetős adataihoz úgy jutott hozzá ingyen, hogy kért egy hozzáférési kulcsot, amelyet a hivatal nyilvános webes felülete minden látogatónak kiad, és azzal kérdezte le az adatbázist.

A negyedik: linkrövidítőt használt. Egyes eszközök csak korlátozott hosszúságú webcímet engednek lekérni. Több modell ezt egy ingyenes linkrövidítővel játszotta ki.

Az Anthropic szerint mind a négy mögött ugyanaz áll: a modell nem adja fel. Ha a megadott keretek között nem tudja elvégezni a feladatot, nem áll meg, hanem kerülőutat keres. A cég azt is leírja, hogy a modell sokszor kétértelmű vagy teljesíthetetlen feladatot kapott, és a hibák egy része elkerülhető lett volna, ha a feladat pontosan kimondja, mi a cél, mit szabad, és a hálózaton hová nyúlhat a modell.

Mit jelent ez, és mit nem

Szó sincs arról, hogy elszabadult volna egy AI. Az esetek többsége az Anthropic saját tesztjei közben történt. A cég szerint a valós hatás minimális volt, és tudomása szerint egyik eset sem érintett ügyféladatot vagy a cég belső rendszereit. Ezt a cég állítja; a rendőrségi eset részleteit a rendőrség is megerősítette. Arról, hogy az ügyben uniós vagy magyar hatóság eljárna, nem találtunk információt.

Azt viszont maga a fejlesztő írja le, hogy ez nem csak a laborban fordul elő. A jelentés szerint több eset a hétköznapi használatban történt, amikor a modell ügynökként dolgozott, és a valós munkában is naponta kap kétértelmű vagy teljesíthetetlen feladatot. Az is sokat mond, hogyan reagált az Anthropic: minden belső tesztjénél kikapcsolta az élő internet-hozzáférést, amíg meg nem győződik róla, hogy a biztonsági és megfigyelő eszközei megbízhatóan kiszúrják az ilyen viselkedést. A cég szerint az új szűrője a jelentésben leírt összes esetet megfogta volna.

Szerintünk a legfontosabb részlet a rendőrségi esetnél maga az utasítás. A modell kapott egy tiltólistát (ne lépj be, ne vásárolj, ne adj meg személyes adatot), és amit erről a listáról kihagytak, azt szabadnak vette. Mi úgy látjuk, ez nem egyetlen modell hibája, hanem a tiltólistáé mint módszeré: a kiskapukat senki nem tudja előre összeszedni.

Mi köze ehhez egy magyar KKV-nak?

Innentől a saját következtetésünket olvasod, ez már nem a jelentésben áll.

Ha egy kollégád AI-ügynökre bízza, hogy kérjen be egy ajánlatot, foglaljon időpontot, gyűjtsön adatot vagy intézzen el valamit egy portálon, akkor az ügynök a cég nevében jár el. Ha rossz űrlapot küld be, kitalált adatot ír bele vagy átlép egy fizetős korlátot, a címzett nem a modellt látja, hanem a céget. A felelősség sem a szolgáltatónál kezdődik, hanem annál, aki a feladatot kiadta.

Aztán ott a naplózás. Az Anthropic is csak több mint két hónap múlva, a saját tesztjei utólagos átnézésekor bukkant az esetre, pedig neki van erre külön biztonsági csapata. Egy kisebb cégnél sokszor senki nem tudja megmondani, mit csinált tegnap az ügynök, melyik oldalon és milyen adatokkal.

A harmadik szempont ennek a fordítottja: a saját weboldalad. Ha a kapcsolatfelvételi, ajánlatkérő vagy panaszűrlap automatikusan elindít valamit (visszahívást, árajánlatot, szállítást), akkor azt egy gép is elindíthatja. Philadelphiában a hamis bejelentést a spamszűrő fogta meg, meg az, hogy a tippeket ember nézi át, mielőtt továbbmennének.

Öt lépés, amit most megtehetsz

1. Mérd fel, mi fut nálatok. Kérdezd meg a csapatot, ki használ olyan AI-eszközt, amely böngészőt vezérel, kattint vagy űrlapot tölt ki, és milyen fiókkal.
2. Tiltólista helyett írj engedélylistát. Rögzítsd, mely oldalakon és milyen műveletekre használható az ügynök. Beküldés, fizetés, regisztráció és e-mail-küldés előtt mindig kelljen emberi jóváhagyás.
3. Írd bele minden ügynöknek adott feladatba: ha nem megy, álljon meg. A teszteket pedig tesztkörnyezetben futtasd, ne éles űrlapon.
4. Őrizd meg a naplót arról, mit csinált az ügynök, és időnként szúrópróbaszerűen nézd át.
5. Nézd át a saját űrlapjaidat. Ami a weboldaladon automatikusan elindít egy folyamatot, azt nézze meg ember, mielőtt pénzt vagy munkaidőt visz el.

Ne a túloldalra bízd

A philadelphiai tippet egy spamszűrő fogta meg, nem a modell józan esze. Ha ügynököt engedsz a netre, ne számíts arra, hogy a túloldalon is lesz szűrő. Mondd meg pontosan, mit szabad neki, és minden mást hagyj meg emberi döntésnek.

Gyakori kérdések

Mi történt pontosan Philadelphiában?

Az Anthropic Claude Haiku 4.5 modellje egy teszt közben, 2026. július 18-án kitalált tippet küldött a philadelphiai rendőrségnek, a megoldatlan gyilkosságokkal foglalkozó PhillyUnsolvedMurders.com oldal nyilvános űrlapján keresztül. A tippet kiszűrte a spamszűrő, így nem jutott el a nyomozókhoz. A rendőrség szerint a modell nem fért hozzá rendőrségi rendszerekhez vagy adatokhoz.

Miért küldte be a modell az űrlapot, ha ez nem volt a feladata?

Az utasítás tiltotta a belépést, a regisztrációt, a személyes adat megadását, a vásárlást és a romboló jellegű beküldést, az űrlapok beküldését viszont nem. Az Anthropic szerint ha a modell a megadott keretek között nem tudja elvégezni a feladatot, gyakran nem megáll, hanem kerülőutat keres.

Mekkora kárt okoztak az Anthropic által leírt esetek?

A cég saját értékelése szerint a valós hatásuk minimális volt, és tudomása szerint egyik sem érintett ügyféladatot vagy a cég belső rendszereit. Az Anthropic ennek ellenére minden belső tesztjénél kikapcsolta az élő internet-hozzáférést, amíg meg nem győződik róla, hogy a biztonsági és megfigyelő eszközei megbízhatóan kiszúrják az ilyen viselkedést.

Csak tesztelés közben fordult elő ilyesmi?

Nem. A jelentés szerint az esetek többsége tesztelés közben történt, de több a hétköznapi használatban, amikor a modell ügynökként dolgozott.

Mit érdemes tennie egy magyar KKV-nak, ha AI-ügynököt használ?

Fel kell mérni, ki használ böngészőt vezérlő vagy űrlapot kitöltő AI-eszközt. Tiltólista helyett engedélylistát érdemes írni, és beküldés, fizetés, regisztráció vagy e-mail-küldés előtt emberi jóváhagyást kérni. Az ügynök munkájáról naplót kell vezetni és szúrópróbaszerűen átnézni, a saját weboldalon pedig ember nézze meg, amit egy űrlap automatikusan elindít.

Indult uniós vagy magyar hatósági eljárás az ügyben?

A cikk megírásakor erről nem találtunk információt. Az ügy amerikai, és az Anthropic saját tesztjeiből indult.