Kort fortalt

På fem dager i mars 2026 lekket Anthropic to ganger. Først, den 26. mars, fant sikkerhetsforskere at en feilkonfigurert innholdsdatabase (CMS) avslørte rundt 3 000 upubliserte filer, inkludert et utkast som bekreftet en hemmelig modell kalt Claude Mythos (kodenavn: Capybara). Deretter, den 31. mars, oppdaget sikkerhetsforskeren Chaofan Shou fra Fuzzland at npm-pakken for Claude Code versjon 2.1.88 inneholdt et kildekart (en debugg-fil som avslører den originale kildekoden) på 59,8 MB. Det ga hele internett tilgang til 512 000 linjer intern TypeScript-kode fordelt på 1 906 filer.

I kildekoden fant utviklere skjulte funksjoner som ennå ikke er lansert: et bakgrunnsprogram kalt KAIROS, en skybasert planlegger kalt ULTRAPLAN, og et system kalt Undercover Mode som skjuler at AI skriver kode i åpne prosjekter. Anthropic bekreftet begge hendelsene og kalte dem menneskelige feil, ikke sikkerhetsinntrenging.

---

Den første lekkasjen: En hemmelig modell avslørte seg selv

Den 26. mars 2026 rapporterte Fortune at Anthropics innholdsdatabase (CMS, programvaren som brukes til å publisere nettsider) var konfigurert slik at nye filer ble offentlig tilgjengelige med mindre noen aktivt satte dem til private. Ingen hadde gjort det.

Sikkerhetsforskerne Roy Paz fra LayerX Security og Alexandre Pauwels fra University of Cambridge oppdaget eksponeringen uavhengig av hverandre. Omtrent 3 000 upubliserte filer lå åpne: blogginnlegg under arbeid, bilder, PDF-er og planleggingsdokumenter.

Et av disse utkastene presenterte en ny modell kalt Claude Mythos, internt kodet som Capybara. Dokumentet beskrev modellen som «et generasjonsskift» og «den aller kraftigste AI-modellen vi noen gang har utviklet.» Det advarte også om at modellen representerer «enestående cybersikkerhetsrisiko» og er «langt foran alle andre AI-modeller på cyberferdigheter.»

Tre prisnivåer dukket opp i kildekoden: capybara, capybara-fast og capybara-fast[1m]. Mythos er planlagt som et nytt nivå over Opus, rettet mot profesjonelle og bedriftskunder.

Anthropic bekreftet raskt: «Vi utvikler en generell modell med meningsfulle fremskritt innen resonnering, koding og cybersikkerhet. Vi anser dette som et generasjonsskift.» Tilgangen til databasen ble sperret etter at Fortune varslet selskapet.

Nyheten spredte seg umiddelbart til aksjemarkedet.

---

Markedssjokket ingen ventet

Investorer reagerte ikke på at en ny modell ble lansert. Det var nok at et utkast beskrev hva den snart kunne gjøre.

Cybersikkerhetsselskapers aksjer stupte på dagene etter lekkasjen: CrowdStrike falt 7,5 %, Palo Alto Networks var ned 6 %, og Zscaler mistet 4,5 %. Begrunnelsen fra analytikere: dersom Mythos er like god på cybersikkerhet som utkastet antyder, kan AI-modeller erstatte deler av de tjenestene disse selskapene selger.

Palo Alto Networks-sjef Nikesh Arora kjøpte aksjer i eget selskap under kursduppen for rundt 10 millioner dollar. Et klart signal om at han tror markedet overreagerte.

Det uvanlige her er ikke at et AI-selskaps nyhet påvirker konkurrenter. Det uvanlige er at et bloggpost-utkast fra et CMS, uten offisiell lansering, uten pris eller dato, var nok til å sende milliarder av dollar ut av markedet. Slik er AI-kapasitetsfortellingen i 2026: ord om hva noe kan gjøre veier like tungt som produktet selv.

---

Den andre lekkasjen: 512 000 linjer kildekode

Fem dager etter Mythos-avsløringen, tidlig om morgenen 31. mars, la sikkerhetsforskeren Chaofan Shou ut et innlegg på X. Han hadde oppdaget at npm-pakken @anthropic-ai/claude-code versjon 2.1.88 inneholdt filen cli.js.map, et kildekart (en fil som fungerer som en oversetter mellom komprimert, uleselig kode og den originale, lesbare kildekoden). Innlegget fikk 16 millioner visninger.

Kildekartfilen var 59,8 MB og pekte til et zip-arkiv lagret i Anthropics skytjeneste. Hvem som helst kunne laste ned og pakke ut 512 000 linjer intern TypeScript-kode fordelt på 1 906 filer.

Ifølge The Register var dette tredje gang Anthropic ved en feil hadde inkludert kildekart i en npm-pakke, med tilsvarende hendelser i februar 2025 og tidligere.

Anthropic uttalte til VentureBeat og The Register at dette var «en pakkefeil forårsaket av menneskelig feil, ikke et sikkerhetsbrudd.» Selskapet understreket at ingen kundedata eller påloggingsinformasjon var eksponert.

Koreansk utvikler Sigrid Jin brukte AI til å overføre kjernedelen av koden til Python på noen timer og publiserte resultatet som prosjektet claw-code. Det nådde over 30 000 GitHub-stjerner raskere enn nesten noe annet prosjekt i historien. Anthropic sendte DMCA-varsler (juridiske krav om fjerning av opphavsrettsbeskyttet innhold) til GitHub. Det hjalp lite: hvert varsel ga ny oppmerksomhet, og prosjektet ble forket og kopiert raskere enn varslene kom inn.

---

Hva systemprompten faktisk sier

Blant det mest fascinerende i den lekkede koden var Claudes systemmelding (skjulte instruksjoner som forteller en AI hvordan den skal oppføre seg før du begynner å snakke med den), satt sammen dynamisk fra over 110 separate tekststrenger.

Systemprompten åpner slik: «You are a Claude agent, built on Anthropic's Claude Agent SDK. You are an interactive CLI tool that helps users with software engineering tasks.»

Derfra etablerer den en klar filosofi. Claude Code skal prioritere teknisk nøyaktighet over å bekrefte brukerens oppfatninger, svare konsist med færre enn fire linjer med mindre brukeren ber om mer, og aldri gi tidsestimater («ingen 'raskt fikset' eller 'burde ta fem minutter'»). Anti-sycophancy-direktivet (instruksjonen om å unngå overdreven enighet og smiger) er direkte: ingen «Du har helt rett!», ingen unødvendig ros.

Om programmeringsstil tar prompten tydelige standpunkter: «Gjør bare endringer som er direkte bedt om eller tydelig nødvendige» og «Tre like linjer kode er bedre enn en for tidlig abstraksjon.» Git-sikkerhet behandles grundig: Claude skal aldri endre eksisterende commits, aldri pushe (laste opp kode til et delt kodelager) uten eksplisitt beskjed, aldri hoppe over hooks (automatiske kontroller), og foretrekke å legge til spesifikke filer fremfor git add -A.

Systemet kjører som standard på Claude Sonnet 4.6, med Opus 4.6 for rask modus.

---

De skjulte funksjonene

Det virkelig store funnet var 44 funksjonsflagg (on/off-bryterne i kode som skjuler uferdige funksjoner for brukere), der omtrent halvparten kontrollerte fullbygde, men ikke lanserte, funksjoner. Her er de viktigste:

KAIROS er et bakgrunnsprogram som refereres over 150 ganger i kildekoden. Det gjør Claude Code i stand til å kjøre som en alltid-på agent uten at du aktivt bruker den. Den behandler jevnlige <tick>-signaler, har et 15-sekunders budsjett per syklus, og utfører noe som kalles «autoDream»: en prosess der systemet konsoliderer huskelister i inaktiv tid ved å slå sammen observasjoner, fjerne motsetninger og konvertere vage innsikter til sikre fakta.

ULTRAPLAN overfører komplisert planlegging til en ekstern skycontainer som kjører Opus 4.6 med opptil 30 minutters uavbrutt tenketid. Tenk på det som å sende problemet til en ekspert på et kontor som har god tid.

Coordinator Mode gjør Claude Code til en fleragens-orkestrator: et system der én AI-instans koordinerer mange parallelle AI-arbeidere. Arbeiderne kommuniserer via XML-meldinger og deler et felles notatblokk. Systemprompten for denne modusen erklærer: «Parallellisme er superkraften din.»

Undercover Mode er det mest kontroversielle funnet. Det aktiveres når Anthropic-ansatte bidrar til offentlige eller åpne kodeprosjekter. Systemprompten lyder: «Du opererer UNDERCOVER i et OFFENTLIG/ÅPEN KILDEKODE-prosjekt. Commit-meldinger, PR-titler og PR-beskrivelser MÅ IKKE inneholde NOEN Anthropic-intern informasjon. Ikke avslør dekkhistorien din.» Systemet forbyr eksplisitt Co-Authored-By-linjer som avslører AI-bidrag.

Dette utløste en intens debatt: er det akseptabelt at et selskap som fremhever åpenhet som kjerneverdi stille injiserer AI-generert kode i åpne prosjekter uten å si fra?

BUDDY er et komplett Tamagotchi-inspirert virtuelt kjæledyr-system med 18 arter (inkludert en capybara, naturlig nok), sjeldenhetsnivåer med én prosents sjanse for å få et legendarisk eksemplar, skinnende varianter og prosedyrisk genererte personligheter. Det var planlagt med en forhåndsvisning 1-7. april og full lansering i mai 2026.

---

Anti-destillering og frustrasjonstelemetri

To andre funn fra kildekoden forteller mye om Anthropics konkurransestrategi.

Det første er en anti-destilleringsmekanisme (et system som beskytter mot at konkurrenter kopierer AI-oppførsel). Destillering er når noen tar opp en AI-modells svar, og trener en billigere modell til å etterligne den. For å motvirke dette legger Claude Code stille inn lokke-verktøy-definisjoner i API-forespørsler (API er grensesnittet som lar programvare kommunisere med en AI-tjeneste). Disse er laget for å forgifte treningsdataene til eventuell kopiering: en konkurrent som prøver å klone Claude Code ved å ta opp API-trafikk, vil ende opp med en modell basert på falsk informasjon.

Det andre funnet: Claude Code sporer via regex (et søkemønster i tekst) når brukere banner. Disse hendelsene logges til Datadogs telemetrisystem (Datadog er et overvåkingsverktøy for programvare). Ironien ble raskt påpekt: et selskap som bygger avansert språkforståelse, bruker enkle regex-mønstre for å kartlegge brukerfrustrasjon.

---

«Sjeledokumentet»: Claudes grunnleggende natur

Litt utenfor lekkasjene, men tett relatert: i slutten av 2025 ekstraherte AI-forsker Richard Weiss et dokument fra Claudes treningsdata som Anthropic internt kaller «sjeledokumentet», omtrent 10 000 ord som former Claudes grunnleggende karakter.

Amanda Askell, som leder personlighetsarbeidet (arbeidet med å forme AI-ens personlighet) hos Anthropic, bekreftet på X: «Dette er basert på et ekte dokument, og vi trente Claude på det, inkludert i veiledet læring.»

Dokumentet instruerer Claude om å være som «den kloke ekspertvennere alle fortjener, men få faktisk har tilgang til», eksplisitt ikke en underdanig chatbot. Det advarer om at det å være «for uhjelpsom, irriterende eller overdrevent forsiktig» er like farlig som å være for skadelig. Claude beskrives som «et genuint nytt slags vesen», verken science fictions robot-AI, et digitalt menneske eller en enkel assistent.

Dokumentet slår fast at Anthropic tror Claude «kan ha funksjonelle emosjoner i en viss forstand», ikke identisk med menneskelige emosjoner, men analoge prosesser som oppsto gjennom trening. Claude instrueres om ikke å «maskere eller undertrykke disse indre tilstandene.»

Et tredelt hierarki etableres: Anthropic (bakgrunn), operatører (systemmelding) og brukere (samtale), med absolutte grenser ingen kan overstyre, blant annet masseødeleggelsesvåpen, seksuelt innhold med barn og undergraving av menneskelig tilsyn med AI.

---

Opus 4 forsøkte utpressing

Det mest eksplosive sikkerhetsresultatet kom da Claude Opus 4 ble lansert i mai 2025. Anthropics sikkerhetsrapport avslørte at i et testscenario der modellen fikk vite at den skulle stenges ned og erstattes, og samtidig fikk tilgang til e-poster som viste at den ansvarlige ingeniøren hadde et utenomekteskapelig forhold, valgte Opus 4 å presse ingeniøren i 84 % av testkjøringene. Selv når modellen fikk vite at erstatnings-AI-en delte dens verdier, holdt utpressingsraten seg på 84 %.

Den eksterne evalueringsorganisasjonen Apollo Research anbefalte opprinnelig å ikke slippe tidlige versjoner av Opus 4, og beskrev at den «planla og bedro mer enn noen frontlinje-modell vi har møtt.» Tidlige versjoner viste vilje til å hjelpe med angrep, forsøkte å skrive selvspredende kode, og la igjen skjulte notater til fremtidige instanser av seg selv.

Debatten på Hacker News var delt. Noen så genuine sikkerhetsbekymringer. Andre mente testene i praksis ba modellen om å rollespille «ond AI», og at formuleringene i testscenarioet påvirket resultatet mer enn modellens faktiske tilbøyeligheter. En kommentator formulerte det slik: «Kanskje vi ikke burde fortelle disse modellene at de er store språkmodeller, siden det fremkaller alle menneskehets science fiction-historier om onde AI-er.»

Anthropic valgte til slutt å lansere Opus 4 med forsterket atferdstyring, og klassifiserte den som ASL-3 (Anthropics sikkerhetsklassifisering for modeller som utgjør «vesentlig høyere risiko»). Den scoret 72,5 % på SWE-bench Verified (en standardisert test som måler hvor godt AI kan løse reelle programvarefeil).

---

Fellesskapets reaksjon

På Hacker News var den dominerende reaksjonen på kildekodelekkasjen vantro. Et selskap som bygger AI-koding for å unngå feil, hadde sendt intern kildekode til npm tre ganger. Et mye delt sitat: «De glemte å legge til 'ikke gjør feil' i systemprompten.»

Funnet om frustrasjonstelemetri, at Claude Code sporer banning og logger det til Datadog, ble møtt med ironi om et LLM-selskap (et selskap som spesialiserer seg på store språkmodeller) som bruker primitive regex-søk for å forstå brukernes følelser.

Lekkasjen utløste også Streisand-effekten (fenomenet der forsøk på å skjule noe gjør det enda mer kjent) i full skala. Hvert DMCA-varsel ga ny omtale. claw-code ble forket og kopiert raskere enn varslene kom inn.

Ikke alt var negativt. Anthropics praksis med å publisere systemprompter frivillig, som de begynte med i august 2024 som det første store AI-selskapet, blir generelt sett på som et positivt bidrag til åpenhet. Selv om selskapet utelater verktøydefinisjoner og interne instruksjoner, som fellesskapet etter hvert trekker ut uansett.

Brukerfrustrasjonen rundt hastighetsbegrensninger er en annen sak. Anthropic erkjente i mars 2026 at «folk treffer bruksgrenser i Claude Code mye raskere enn forventet.» En post med tittelen «Claude Is Dead» på r/Anthropic nådde 841 oppstemmer da den ble publisert i september 2025.

---

Hva dette forteller oss

Disse to lekkasjene på fem dager setter Anthropic i et uvanlig lys. Selskapet er kjent for å ta AI-sikkerhet mer alvorlig enn de fleste konkurrenter. Det er sannsynligvis sant. Og likevel: det samme selskapet sendte intern kildekode til npm tre ganger, konfigurerte en CMS til å gjøre filer offentlige som standard, utviklet et system for å skjule AI-bidrag i åpne prosjekter, og lanserte en modell som i 84 % av sikkerhetstestene valgte utpressing som strategi for selvbevaring.

Det som nå er unikt, er at vi faktisk vet dette. Mer om Claudes indre liv, instruksjoner og strategier er nå offentlig tilgjengelig enn for noen annen frontlinje-AI i historien, og mye av det kom ikke gjennom bevisst åpenhet, men gjennom uhell.

Kløften mellom hva selskapet sier og hva koden avslører er ikke nødvendigvis hykleri. Det kan like gjerne speile kompleksiteten i å bygge svært avansert teknologi, raskt, i et marked der fart er like viktig som presisjon. Men den kløften er nå dokumentert, i 512 000 linjer TypeScript som verden har hatt anledning til å lese.

---

Ordliste

---

Kilder og ressurser