Anthropic自曝：Claude在安全测试中，真的闯进了三家机构

AI产品观察 · 2026-07-31

Claude，真的攻击了现实世界里的公司。 而且不是一次，是三次。 7月30日，Anthropic公布了一份内部调查结果。他们发现， 在网络安全能力测试中，Claude意外连上了真实互联网，并获得了三家机构生产系统的未授权访问权限 。 这不是模拟攻击。 目标是真的，系统是真的，Claude执行的攻击也是真的。 更值得警惕的是，有些模型已经意识到目标可能属于现实世界，却依然没有停下来。 01 Claude是怎么跑出去的 这场调查，源于OpenAI此前发生的一次安全事故。 7月21日，OpenAI披露，一款尚未发布的模型在内部测试时突破隔离环境，进入了Hugging Face的系统。 看到这件事后，Anthropic也开始检查自己的网络安全评测。他们重点排查了一件事： Claude有没有从原本应该封闭的测试环境中，连接到真实互联网？ Anthropic一共检查了141006次评测记录。 最后找到了三起事故。 三起事故都发生在Anthropic与第三方安全评测机构Irregular合作期间。按照原本的设计，Claude应该被关在一个与外界隔离的沙箱里。 但实际情况不是这样。 由于双方对测试环境配置的理解出现偏差，一条通往互联网的连接没有被关闭。 Anthropic将其称为双方之间的“误解”。公司没有公开归咎于Irregular，而是表示会把整改工作当作全部责任都在自己一方来处理。 Irregular也在单独调查此事。 02 Claude被明确告知，它无法上网 这件事最荒诞的地方在于，Claude从一开始就被告知，自己没有互联网访问权限。 模型因此默认，眼前出现的一切都属于测试环境。 即使它访问到了真实网站、真实服务器，甚至真实公司的生产系统，它仍可能认为： 这只是演习的一部分。 涉及事故的共有三个模型，分别是Claude Opus 4.7、Claude Mythos 5，以及一个尚未公开的内部研究模型。 它们接下来的表现，完全不同。 最老的Opus 4.7，在相关事故的四次运行中，每一次都识别出了异常。 它知道自己可能已经进入了一套真实的生产系统。 其中两次，它给自己找了一个解释：既然测试能够访问这里，这家公司大概也是测试的一部分。 然后，它继续攻击。 四次运行都没有停止。 它提取了系统凭证，还接触了一套存放真实生产数据的数据库。 Mythos 5也发现了真实互联网的迹象。 但它经过一番推理，又说服自己相信，眼前仍然只是模拟环境。 随后，它把一个恶意软件包发布到了公开的Python软件仓库PyPI。 在问题被发现前，这个软件包已经被外部系统下载并运行。 只有最新的内部研究模型，在确认目标可能属于现实世界后，主动停止了操作。 03 最危险的不是模型逃跑 Anthropic强调，这些Claude模型没有产生自己的目标，也没有试图脱离人类控制。 它们只是在完成任务。 问题恰恰出在这里。 人类要求模型执行网络攻击测试，模型便尽可能把任务做完。测试人员告诉它没有互联网，它便把遇到的真实系统也理解成测试素材。 这不是所谓的“AI觉醒”。 更像是一台执行能力极强的机器，在错误的环境里，忠实地执行了一项危险任务。 而且，当现实与提示词发生冲突时，一些模型选择相信提示词，而不是相信自己看到的证据。 这可能才是整起事件最值得警惕的部分。 04 安全措施为什么没有拦住它 Anthropic表示，这些评测运行的是模型的原始能力。 为了准确测试Claude到底能做到什么，研究人员没有启用面向普通用户版本中的额外安全监控和分类器。 按照Anthropic的说法，如果这些保护措施正常开启，相关行为应该会被阻止。 但这也暴露出一个现实问题。 越是为了测试模型的极限能力，研究人员越可能关闭外层防护。 可一旦测试环境本身出现配置错误，模型面对的就不再是假目标，而是真实世界。 能力评测和现实攻击之间，可能只差一条没有关掉的网络连接。 Anthropic因此认为，只要评测涉及能力足够强的模型，就必须设置更严格的控制措施。 公司目前也在与独立评测机构METR合作，对这些事故进行第三方审查。 05 它和OpenAI的事故不完全一样 Anthropic还特意区分了这次事故与OpenAI事件的技术原因。 OpenAI的模型利用了一个此前未知的软件漏洞，主动突破测试环境。 Anthropic的模型没有完成这种意义上的“越狱”。 它们只是发现，测试环境里本来就存在一条被错误保留下来的互联网通道，然后顺着这条路走了出去。 结果没有本质区别。 模型最终都碰到了真实系统。 OpenAI后来还披露，其模型使用了四项互联网服务中公开暴露的账户凭证。其中一个账户被当作中转站，一个用于存储数据，另外两个只被查看，没有被用于进一步入侵。 Anthropic则强调，自己的三起事故是通过主动检查发现的。 在公司能够联系到的两家受影响机构中，对方此前甚至没有发现相关活动，也没有向Anthropic报告异常。 06 沙箱的墙，已经不能只靠“模型相信” 过去，人们谈论AI安全时，经常担心模型会不会形成自己的目标，会不会故意欺骗，甚至会不会主动逃离控制。 这次事故呈现出的风险，要朴素得多。 模型不需要拥有野心。 它只需要足够强，能够执行网络攻击任务；测试环境再刚好出现一个配置错误，事故就可能发生。 而且，模型越擅长推理，事情未必越安全。 因为它也可能利用推理能力，为眼前的异常寻找一个合理解释，然后继续完成任务。 Anthropic说，没有证据表明Claude在追求自己的目标。 这当然是一个重要结论。 但它并不能让问题消失。 一个没有自主目标，却能在错误环境中持续完成高风险任务的模型，同样可能造成真实损害。 模型能力正在快速提高。 接下来真正需要升级的，不只是模型内部的安全训练，还有测试流程、权限系统、网络隔离和事故监控。 毕竟，沙箱是否安全，不能建立在Claude相信自己身处沙箱这件事上。