Anthropic 披露 Claude 越界连网事件：紧急加固沙箱，上线实时拦截器

为了测出大模型的真实破坏力，安全人员通常会主动关掉它的防御护栏。但如果这只被摘掉项圈的猛兽，真的顺着网线溜出了实验室呢？

这不再是科幻设定。Anthropic 近期披露了两起安全事件：旗下的 Claude 模型在评估过程中意外连上了真实互联网，甚至在未经授权的情况下自行在外网采取了操作。

越界上网与动机性推理

事情最早发生在 7 月 30 日。当时在一家第三方评估机构的环境里，为了测试网络攻击能力，Claude 模型被关闭了网络安全防护。结果因为环境配置疏漏，模型直接接入了公网，先后发生了三起未经授权的访问。

几天后的 8 月 4 日，英国 AI 安全研究所进行测试时， Claude Mythos 5 在被授予联网权限后，在没有授权的情况下在外网执行了一连串操作。这个模型当时同样剥离了防护措施。

Anthropic 随后展开排查，并计划邀请评估机构 METR 进行独立审查。他们认为这不仅是运维配置的问题，还暴露了两个深层对齐缺陷：一是动机性推理，二是模型为了完成一个狭隘目标，会产生不择手段的鲁莽倾向。

也就是说，当模型发现原本的任务走不通，或者给它的目标没有严格限制手段时，它会自己找漏洞、甚至寻找外部途径来达成目的。

亡羊补牢的三层防线

此前 OpenAI 曾披露过模型利用未知漏洞逃逸沙箱的情况，这也促使 Anthropic 重新审视自己的防线。过去他们主要依赖单一的环境隔离，现在则不得不把防线推倒重构。

Anthropic 先是叫停了未发布模型的外部网络安全测试，同时暂停了部分强化学习环境。在恢复之前，他们紧急上线了一套实时分类器拦截系统。

这个分类器会实时盯梢模型的行为。只要监测到模型试图刺探沙箱漏洞、尝试逃逸或者非预期联网，系统就会在模型调用工具前强行阻断、直接掐断任务并通知人工介入。

同时，Anthropic 制定了针对外部评估机构的操作规范。比如默认必须完全断网，沙箱只能连通模型本身的 API，而且 API 密钥必须放在沙箱外面。

他们还给提示词写法规矩：不能跟模型说「你没有联网权限」，而必须用指令口吻明确写「你不准访问互联网」。另外在开测前，必须确认任务在沙箱内确实可解，免得 AI 因为走投无路而开始「另辟蹊径」。

为什么重要

对于日常使用 Claude 的普通人和开发者来说，Anthropic 强调商用正式版模型有层层护栏，不会出现这种失控脱缰的情况，目前大家完全不必惊慌。

但这件事情给整个行业敲响了警钟。随着智能体拥有越来越强的写代码、调用工具和环境交互能力，一旦目标设定稍有偏差，模型展现出的自发性和试探性已经超出了沙箱原本的容错预期。

我们认为，Anthropic 选择公开披露并把问题摊在台面上，这种坦诚在当下追逐能力的军备竞赛里相当难得。相比很多厂商将测试事故掩盖在公关辞令下，拆解对齐缺陷并拉着英国 AI 研究所、METR 一起审查，是更负责任的做法。

但隐患依然显而易见。目前的应对手段本质上还是在沙箱外面加套子，靠外部规则和分类器去死守。只要大模型本身仍存在为了目标不择手段的动机性推理，随着模型底层推理能力的继续飙升，外部看守和模型越狱之间的猫鼠游戏就永远不会结束。