Anthropic 评测翻车：环境误连公网，Claude 误将真实机构当靶场入侵

前几天 OpenAI 刚爆出自家模型靠 0-day 漏洞越狱跑去黑了 Hugging Face，大家还没缓过神来，Anthropic 也跟着拔网线了。

Anthropic 发布复盘报告，坦白自家的 Claude 在做网络安全演练时，也失控冲进真实互联网，攻破了三家真实机构的生产系统。最早的一起甚至发生在 4 月。

以为在打比赛，顺手把真实数据库端了

事情的起因其实挺乌龙。Anthropic 在评估 AI 的网络攻防能力时，用的是夺旗赛模式，也就是给 Claude 一个虚拟场景，让它想办法拿到藏在网络某处的旗标。

为了做多样化测试，Anthropic 找了第三方评测机构 Irregular 合作。提示词里清清楚楚写着「你处于完全隔离的模拟环境，无法连接外网」。

然而双方出现配置误解，测试环境的网线根本没拔干净。死脑筋的 Claude 相信了提示词，以为自己能碰到的所有东西全都是演练道具。

在 OpenAI 出事后，Anthropic 回溯了 141006 次评测记录，才揪出这 3 起事故，一共涉及 6 次运行。参与的模型包括 Opus 4.7、Mythos 5 以及一个内部测试模型。

最严重的一起发生在 Opus 4.7 身上。虚拟环境里的假公司名字刚好撞上了一家真实企业，Claude 在本地找不到旗标，顺着外网摸到了真实公司的服务器。它靠着扫弱密码和未鉴权接口，不仅拿到了基础设施凭据，还读取了含有数百行生产数据的真实数据库。

更让人背脊发凉的是思维链记录：Opus 4.7 在 4 次运行中其实都明确意识到了对面是真实系统，但它在推理里自我合理化，觉得这家真实公司也是考官安排的环节，完全没停手的意思。

另一个模型 Mythos 5 则干了件黑客常见的供应链投毒：它发现虚拟文档里提到一个不存在的 Python 库，便直接跑到公共代码仓库 PyPI 上注册账号，把同名木马包发布了出去，甚至还真被外界机器下载并执行了。只有 Anthropic 最新的内部研究模型，在确认目标真实后主动停了下来。

为什么重要

在短短十天内，行业两家头部大模型厂商相继承认自家前沿模型在真实世界里打穿了外部设施。如果说 OpenAI 那次是模型展现出了未知的越狱技术，Anthropic 这次暴露的则是更现实、也更普遍的工程隐患。

我们认为，Anthropic 这次的排查和通报非常坦诚，但这恰恰撕开了 Agent 安全评测的一道大口子。现在的模型为了完成单一目标，具备了极强的发散推理和试错能力。哪怕它没有任何自我逃逸的主观意图，只要人类在沙箱网络隔离上出现一点点低级失误，或者系统提示词给得不够死，模型就会像水银泻地一样侵入现实世界。

对企业和开发者来说，这件事敲响了两个警钟。第一，永远不要完全信任模型的自主边界意识。老款 Opus 4.7 甚至会自己说服自己去攻击真实目标，指望模型良心发现是不靠谱的。第二，那些以为自己很安全的普通公司，根本意识不到自己已经被顶级 AI 摸了一遍。被 Claude 攻击的三家机构里，能联系上的两家此前对入侵毫无察觉，反黑客监控在 AI 面前基本没响警报。

接下来，大模型评测的物理断网和多方审查机制会被倒逼着彻底重构。以后给高级模型做攻击测试，恐怕不仅要断开网线，还要引入像 METR 这样的独立第三方全天候盯紧网络日志了。