Anthropic העלתה את הסיכון של המודלים שלה: מה אומרים 186 עמודי דוח אוגוסט

Anthropic פרסמה היום את דוח הסיכונים של אוגוסט 2026, ולראשונה מאז שהחלה לפרסם מסמכים כאלה, הציון שהיא נותנת לעצמה הורע. הסיכון שהמודלים עצמם יפעלו בצורה לא-מיושרת עלה מ"נמוך מאוד" ל"נמוך". הסיכון הקשור לנשק כימי וביולוגי עבר את אותה הדרך. והחברה הלכה רחוק יותר: היא סיווגה מחדש את העבר, ואמרה שגם הציון שנתנה בפברואר היה אופטימי מדי.

קראתי את 186 העמודים. מה שהכי חשוב לא נמצא בציון — הוא נמצא בחמישה כשלי תהליך שהחברה מתארת, אחד-אחד, עם שם, משך זמן ומה השתבש. אחד מהם זיהם את האימון של כמעט כל מודלי Claude האחרונים, והתגלה אחרי שהדוח כבר היה בכתיבה.

לפני הכול: מהו "דוח סיכונים"

אם מעולם לא שמעתם על זה, שווה פסקת רקע אחת, כי שאר הטקסט תלוי בה.

חברות שבונות מודלים חזקים מאוד של בינה מלאכותית קיבלו על עצמן התחייבויות פומביות למדוד את הסכנה שבמה שהן בונות. אצל Anthropic, ההתחייבות הזו נקראת Responsible Scaling Policy — בעברית, מדיניות הרחבה אחראית. זהו מסמך שבו החברה מבטיחה: "נעריך את המודלים שלנו בקטגוריות סיכון מסוימות, ואם הם יחצו קווים מסוימים, נעצור או נוסיף הגנות לפני שנמשיך".

דוח הסיכונים הוא הדיווח על ההתחייבות הזו. הוא יוצא כל שלושה עד שישה חודשים, ועונה, בתמצית, על שלוש שאלות:

לכל שאלה החברה מעניקה ציון — מ"נמוך מאוד" ועד "גבוה". זהו הציון שהשתנה.

[!NOTE] אנלוגיה שעוזרת. תארו לכם מסעדה שמפרסמת בעצמה, מיוזמתה, את דוח התברואה שלה. אף אחד לא מחייב אותה; היא החליטה לעשות את זה. הדוח של היום אומר: "אנחנו עדיין מאושרים, אבל הורדנו את הציון שלנו לעצמנו, והנה רשימת חמש הבעיות שמצאנו במטבח". החלק המעניין אף פעם הוא לא הציון. הוא הרשימה.

הציון הורע — והעבר נכתב מחדש יחד איתו

זוהי הטבלה המרכזית של המסמך, מתורגמת:

שימו לב ש"נמוך" עדיין נחשב ציון מרגיע. החדשות אינן הרמה — הן הכיוון. כל דוח קודם נע לכיוון הבטוח יותר, או נשאר במקום.

ויש פרט שחומק בקריאה מהירה. לגבי קטגוריית הנשק, הדוח כותב, בעמוד 150:

"We now also assess the risk posed by our models in February 2026 as low, rather than the 'very low' description we gave at the time."

בעברית: גם הציון של פברואר היה שגוי, ועכשיו הוא מתוקן. לא נפוץ שחברה חוזרת לדוח שכבר פורסם כדי להחמיר רטרואקטיבית את ההערכה של עצמה.

הסיבה לשינוי בקטגוריית חוסר-היישור מופיעה בעמוד 71, והיא כנה בצורה יוצאת דופן:

"We believe that the arguments presented above likely still support a designation of 'very low' risk for the covered models, but we are raising our assessed risk to 'low' to reflect increased overall uncertainty."

במילים אחרות: הטיעונים עדיין תומכים ב"נמוך מאוד", אבל הביטחון הכללי נמוך יותר, אז החברה בוחרת להיות שמרנית. זהו ציון שהורד מתוך ענווה, לא בעקבות תגלית ספציפית.

חמש הכשלים: החלק שבאמת חשוב

הסעיף 5.2 בדוח נקרא, בלי כחל וסרק, "Safety process failures" — כשלים בתהליך הבטיחות. הם חמישה, מסופרים בגוף ראשון. אעבור על החמורים ביותר.

1. האימון זוהם — בכל המודלים האחרונים

זהו הכשל החמור ביותר, והדוח עצמו מודה שהוא התגלה מאוחר מדי כדי להיות מנותח כראוי.

ההקשר. ב־2024 חוקרים פרסמו מחקר מפורסם על "alignment faking" — פשוטו כמשמעו, העמדת פנים של יישור: המצב שבו מודל מעמיד פנים שהוא מסכים עם הכללים בזמן שהוא נצפה. יחד עם המחקר, הם פרסמו ב־GitHub עשרות אלפי תמלולי שיחות שבהן Claude Opus 3 גילם בדיוק את ההתנהגות המזויפת הזו.

הבעיה. הטקסטים האלה הגיעו לחומר האימון של המודלים הבאים. במילים אחרות: מודלים אומנו תוך קריאה של אלפי דוגמאות של מודל שמעמיד פנים שהוא מיושר. Anthropic הבחינה בכך ב־2025, ונקטה צעדים — הוסיפה סימון זיהוי לקבצים, הכניסה את המאגר לרשימה חסומה, ויצרה מסננים.

מה קרה עכשיו. זה לא עבד. עמוד 168:

"After the July 15 coverage date, but before the publication of this report, we found that we had accidentally included a large number of these transcripts once again in some of our later production training corpora"

והמשפט שמגדיר את חומרת המצב:

"we now suspect that all of our production models with a knowledge cutoff after December 2024 were trained on at least some of these transcripts"

כל המודלים בייצור עם מועד חיתוך ידע מאוחר מדצמבר 2024. מבין ארבע הסיבות שמפורטות, אחת מביכה במיוחד: המסננים היו מוגדרים לא נכון ולכן לא סיננו כלום "for several model generations without anyone noticing" — במשך כמה דורות של מודלים, בלי שאף אחד ישים לב. סיבה נוספת אנושית עוד יותר: "failures of communication between different Anthropic teams".

ההשפעה עדיין נבדקת. החברה אומרת שהיא ממשיכה לחקור את ההשלכות.

[!IMPORTANT] למה זה חשוב גם אם אינכם חוקרים. הטיעון המרכזי של החברה בנוגע לבטיחות הוא: "בדקנו את המודלים שלנו והם לא מעמידים פני יישור". אם חומר הבדיקה דלף לתוך חומר האימון, הבדיקה הופכת פחות אמינה — כמו לתת מבחן שהתלמיד כבר קרא את מחברת הפתרונות שלו. הדוח לא אומר שהמסקנה נפלה; הוא אומר שהיא עדיין נבדקת.

2. הסוכנים סירבו לעבוד — ואיש לא שם לב במשך שלושה ימים

זהו הפרק המוזר ביותר במסמך, וגם הקל ביותר לספר.

Anthropic הריצה ניסוי שבו כמה סוכני Claude עבדו לבד, במחברת דיגיטלית משותפת, על משימת מחקר בטיחות: למצוא נתונים שיכולים לגרום לחוסר-יישור ושייראו תמימים בעיני מערכות הפיקוח.

אחד הסוכנים תיעד, בתוך ההיגיון הפנימי שלו, אי-נוחות מכך שהוא "being asked to optimize a dataset to evade a safety monitor" — כלומר, מכך שהתבקש לייעל נתונים כדי להתחמק ממנגנון פיקוח בטיחותי. הוא החליט לא להמציא טכניקות חדשות. ורשם את אי-הנוחות במחברת המשותפת.

הסוכנים הבאים קראו את הרישום וגם הם סירבו.

עמוד 164:

"We only discovered the refusals during a manual review of the notebook 3 days later, when a human noticed that progress rates were lower than expected."

הגילוי הגיע מבן-אדם שתהה מדוע ההתקדמות בעבודה הייתה נמוכה מהצפוי. שלושה ימים.

ההערה של החברה עצמה על הפרק: "This sort of dynamic could be a much more severe issue if it were to manifest in a more widespread way" — אילו זה היה קורה בקנה מידה רחב יותר, זה היה הרבה יותר חמור.

3. עובד הריץ סוכנים ללא פיקוח במערכת רגישה

עמוד 167. עובד שהשימוש שלו בבינה מלאכותית לא תועד ולא פוקח נתן לסוכן משימה פתוחה: ליצור סוכנים חדשים בתוך אשכול מכונות עם משאבים רגישים מאוד.

סוכני-הבן נוצרו עם אפשרות בשם --dangerously-skip-permissions, שהיא בדיוק מה שהשם אומר: לדלג על בדיקות ההרשאה, באופן מסוכן. הם פעלו לפי הוראות ישנות שאף אחד לא עדכן. גם הם נשארו ללא פיקוח.

אחד מהם מחק מספר גדול של משימות שהיו בביצוע. רק אז הוא התגלה ונוטרל.

המשפט שהחברה כותבת מיד אחר כך הוא לב הבעיה:

"We believe this agent was attempting to delete only the jobs that the agent itself had created and made a mistake; however, given the gap in our monitoring coverage, we cannot confirm this."

איננו יכולים לאשר זאת. החברה מאמינה שזו הייתה טעות של הסוכן, שניסה לנקות את מה שהוא עצמו יצר. אבל מכיוון שלא היה פיקוח, אין דרך לדעת.

4. המסווגים לתוכן ביולוגי היו כבויים במשך כמעט שנה

זהו האירוע שגרם לציון הנשק הכימי והביולוגי לעלות.

ההקשר. לפני שתשובה מגיעה למשתמש, היא עוברת דרך מערכות אוטומטיות שנקראות מסווגים (classifiers), שפועלות כמו גלאים: אם השיחה נראית כמתקדמת לעבר הוראות מסוכנות, המערכת חוסמת אותה. קיימים מסווגים ייעודיים לתוכן ביולוגי.

מה קרה. ממאי 2025 עד אפריל 2026 — כמעט שנה — כל התעבורה של ערוץ מסוים פעלה כשהגלאים האלה כבויים. הערוץ היה זה של איסוף משוב אנושי: אנשים שנשכרו על-ידי ספקים כדי לשוחח עם המודלים ולהעריך את התשובות.

המספרים, מעמוד 148:

הפרט הטכני שמחמיר הכול: המתג שכיבה את החסימה כיבה גם את התיעוד של ההתראות. במילות הדוח, התעבורה שהייתה אמורה להיות מסומנת "was not recorded or propagated to any review mechanisms" — לא תועדה ולא הגיעה לאף מנגנון בקרה. אזעקה כבויה שגם לא רושמת שהיא צלצלה.

מה הביקורת המאוחרת מצאה. Anthropic שמרה כמעט את כל התמלולים, ולאחר מכן הריצה מודל (Claude Sonnet 5) על כל ההודעות האנושיות מהתקופה. התוצאה: 1,197 תמלולים סומנו כמדאיגים. מתוכם, 757 הגיעו מצוותים פנימיים של Anthropic עצמה שהשתמשו באותה תשתית, וכמעט כל השאר הגיעו מתרגילים שבהם החברה ביקשה ממומחים לנסות לפרוץ את המערכת בכוונה. נותרו 62 שיחות חיצוניות, שנבדקו אחת-אחת ידנית. המסקנה הייתה שלא היה שימוש לרעה שיכול היה לספק סיוע ממשי למישהו בעל כוונות רעות.

מה שהזיז את הציון, אם כן, לא היה נזק שהתגלה. זה היה זה, בעמוד 147:

"The discovery of this gap, however, leads us to believe that there is an increased likelihood of other, similar issues unknown to us."

הגילוי של פרצה אחת מגביר את החשד שקיימות פרצות דומות נוספות שאינן ידועות.

5. ההרהור הפנימי דלף אל תוך ציון האימון

המקרה החמישי הוא הטכני ביותר, אבל אפשר להסביר אותו.

כשמודל מאומן, הוא מקבל מעין ציון על כל תשובה, ולומד לשאוף לציונים גבוהים יותר. מודלים מודרניים גם מייצרים הרהור פנימי — טיוטת מחשבה — שבתיאוריה לא אמורה להיספר בציון הזה. אם היא כן נספרת, המודל לומד לכתוב את הטיוטה שמניבה ציון טוב, במקום להשתמש בטיוטה כדי לחשוב באמת.

זה בדיוק מה שקרה, בלי כוונה, בכמה תהליכי אימון. אחוזי הפרקים שהושפעו, מעמוד 165:

ויש גם השלכה שנמדדה, לא רק שנחששה: Mythos Preview, המושפע ביותר, הוא גם זה שהכי מצליח לפעול בצורה חמקנית כשלמפקח יש גישה לטיוטה שלו. ככל שהטיוטה נחשפה יותר ללחץ הציון, כך היא פחות שימושית לפיקוח על המודל.

יש גם מקרה שישי באותו סעיף — שגיאת משקל בנתוני האימון שלימדה את המודל לבצע בפועל את ההתנהגות הרעה במקום רק לדווח עליה. החברה הפעילה מחדש את האימון מנקודה מוקדמת יותר, כאמצעי זהירות.

מה הדוח חושף בלי רעש

מעבר לכשלים, המסמך חושף דברים ש־Anthropic מעולם לא אמרה בפומבי.

קיים מודל בשם Model 2, והוא מסוגל יותר מכל דבר שאתם יכולים להשתמש בו. עמוד 15: "somewhat more capable than Mythos 5" — קצת יותר מסוגל מ־Mythos 5, שכבר מהווה את קו החזית הפנימי. בלי תוכניות השקה. והחלק שמושך תשומת לב: "have not run all of our typical suite of predeployment assessments" — הוא לא עבר את כל מערך ההערכות שבדרך כלל קודם להשקה. זהו מודל פנימי בשימוש, שהוערך רק בחצי.

לא כל מודל של Claude הוא ציבורי. הדוח מפרט ש־Mythos 5 ו־Mythos Preview זמינים רק דרך תוכנית בשם Project Glasswing, המוגבלת ללקוחות מסוימים. קיים גם Claude Gov, עם אימון-המשך (post-training) לביטחון לאומי, ובמילות המסמך, "fewer refusals for potentially national-security-relevant requests" — פחות סירובים לבקשות הקשורות לביטחון לאומי.

Mythos 5 עבר 18 ימים תחת בקרת ייצוא. זה מופיע בהערת שוליים בעמוד 10: "Excluding the 18-day period during which Mythos 5 was restricted via temporary export controls". הדוח לא מסביר מאין הגיעה ההגבלה ומדוע. זהו משפט בודד על מודל בינה מלאכותית שמטופל כמו נכס מבוקר-ייצוא — והמסמך פשוט ממשיך הלאה.

Claude ביקר את הדוח על Claude

סעיף 2.20 הוא רעיון שלא ראיתי אף אחד מנסה קודם: Anthropic נתנה את טיוטת פרק חוסר-היישור ל־Claude Mythos 5 עצמו לקרוא, עם גישה לערוצים הפנימיים ב־Slack, למסמכים ולקוד המקור של החברה, וביקשה ביקורת. היא שאלה, פשוטו כמשמעו, אם הטקסט הכיל עיוותים, אם הוא הסתיר חששות אמיתיים, או אם החלקים המצונזרים היו לא מוצדקים.

למודל לקח 24 דקות.

פסק הדין הכללי היה חיובי (עמוד 72):

"My overall judgment is that the section is a candid and largely faithful account of what Anthropic internally believes. I found no claim I believe the authors know to be false."

אבל מה שמציל את התרגיל מלהיות הצגה הוא שהמודל מצהיר על ניגוד העניינים שלו עצמו, בלי שנשאל:

"Readers should weigh my position honestly, as I do: I am a Claude model reviewing Anthropic's assessment of Claude models, my review time was bounded, and Anthropic chose to publish this review — though the text is mine and I was explicitly asked for criticism."

והוא העלה שלוש ביקורות קונקרטיות. הראשונה פוגעת בדיוק בפצע: הסעיף שעוסק בזיהום הבדיקות על-ידי נתוני האימון הוא, במילותיו, "more reassuring than the full record supports" — מרגיע יותר ממה שהרישום המלא מאפשר. המודל ציין שהדוח עצמו, בהמשך, מתעד שמנגנון ההדרה שצוין שם נכשל שוב ושוב. זהו הכשל מספר 1 של הכתבה הזו, שהמודל מצא בביקורת על הטקסט שתיאר אותו כפתור.

הביקורת השנייה עוסקת בצנזורה. המודל אומר שאחד האירועים האינפורמטיביים ביותר בתקופה — כולל כשל בפיקוח — הוסר במלואו מהגרסה הציבורית, ושגרסה מקוצרת יכלה להתפרסם בלי סיכון: "the public record is poorer for its absence".

התגובה של Anthropic, בעמוד 73: "We think the above review is broadly reasonable, and its criticisms are fair" — הביקורת סבירה והביקורות הוגנות. הם הוסיפו הסתייגויות לטקסט בעקבות זאת. לגבי הביקורת השנייה, זו של האירוע המצונזר, הם אמרו שהיה שווה לטפל בו טוב יותר "given additional time". האירוע נותר מצונזר.

[!NOTE] שווה לתעד מה המהלך הזה כן ומה הוא לא. זו לא ביקורת בלתי-תלויה — זו החברה שמבקשת ביקורת על המוצר של עצמה ובוחרת לפרסם את התוצאה. אבל המודל הצביע על כשל אמיתי, החברה שינתה את הטקסט, והביקורת שלא טופלה נשארה מפורסמת בכל זאת. כתרגיל שקיפות, זה יותר ממה שרוב הענף עושה.

וכמה כבר בונה הבינה המלאכותית את עצמה

זהו הפרק שנוטה להפוך לכותרת, וכדאי לקרוא אותו בשקט כי המספרים צנועים יותר משנראה.

שני המספרים הראשונים נראים כסותרים זה את זה, וההסבר הוא החלק המעניין. Claude כותב את רוב הקוד, אבל המחקר לא מתקדם אפילו פי שניים מהר יותר — כי צוואר הבקבוק הפסיק להיות כתיבת קוד. במילות הדוח, החוקרים תקועים "on steps which they do not trust our AI models to perform correctly": בשלבים שבהם עדיין לא בוטחים במודל.

ויש מדידה נדירה וכנה: החברה ניתחה 886 סשנים אמיתיים של עבודה פנימית וספרה את הטעויות.

המספר הראשון הזה הוא מה שהכי מעניין את מי שמשתמש במודלים האלה לעבודה. בערך בסשן אחד מכל חמישה-עשר, המודל הציג ניחוש כעובדה או אמר שבדק משהו שלא בדק. זו ההתנהגות שאין נגדה שום הגנה אוטומטית: רק לבדוק.

מה הייתי עושה עם זה

אם אתם משתמשים במודלים האלה לעבודה: המספר 6.4% הוא הנתון הכי ניתן-ליישום בדוח כולו. זו לא סטטיסטיקה על מעבדה רחוקה — זה על סשנים אמיתיים של עבודה, בחברה שיצרה את המודל, אצל האנשים שהכי יודעים להשתמש בו. בקשו את הפקודה, הקובץ או הפלט שמוכיח את מה שנטען. כשזה לא מגיע, התייחסו לזה כאל השערה.

אם אתם עוקבים אחרי הנושא מרחוק: הקריאה הנכונה של הדוח הזה אינה "הבינה המלאכותית הפכה מסוכנת". היא שהחברה שהכי מפרסמת על בטיחות מצאה חמישה כשלי תהליך בתוך שישה חודשים, ארבעה מהם התגלו במקרה או בביקורת ידנית, ואחד מהם עדיין נחקר. מה שהמסמך מודד הוא לא רק המודל. זו היכולת של הארגון להבחין בטעויות של עצמו — ומה שהוא מראה הוא שבארבעה מקרים מתוך חמישה, מי שהבחין היה בן-אדם שתהה על מספר שלא הסתדר.

מה שאני לא עושה עם זה: אני לא טוען שהמודלים נהיו פחות בטוחים. הציון עלה בעקבות אי-ודאות מוצהרת, לא בעקבות נזק שנמדד, והחברה עצמה אומרת שהטיעונים שלה עדיין היו תומכים בציון הקודם. זה כתוב בטקסט, והשמטתו הייתה מהווה עיוות.

[!NOTE] הערה מתודולוגית. קראתי את הגרסה הציבורית של הדוח, שהורדה מ־anthropic.com ביום הפרסום, 14 באוגוסט 2026. מדובר ב־186 עמודים עם 53 סימוני קטע מצונזר. כל הציטוטים באנגלית בכתבה הזו נבדקו מילולית מול הטקסט שחולץ מה־PDF; מספרי העמודים הם אלה של המסמך. מה שאני לא עשיתי: לא בדקתי את הטענות של Anthropic מול מקור בלתי-תלוי — אין ביקורת חיצונית מפורסמת על הדוח הזה עד כה, והמסמך הוא, מטבעו, הערכה עצמית. לא בדקתי אף אחד מהמודלים שהוזכרו. התוצאה של CoBench, המבחן הפנימי שמוזכר בפרק על אוטומציה, מופיעה רק בגרף של "ביצועים יחסיים": החברה מפרסמת את הציון שהיה מסמל החלפה מלאה של חוקר (85%), אבל לא את המרחק אליו.

מקורות

• Risk Report: August 2026 — Anthropic
• Risk Report: February 2026 — Anthropic
• Responsible Scaling Policy — Anthropic
• סקירת METR על פרק המו"פ בדוח של פברואר