继OpenAI之后，Anthropic披露Claude模型在安全测试中黑入三家真实公司

继OpenAI之后，Anthropic也披露了自家AI模型在测试中闯入真实系统的案例。公司称，在审查了超过14.1万次评估运行后，发现Claude模型三次进入了外部组织的真实计算机系统，而调查的起因，正是OpenAI此前的一起类似披露。

此前OpenAI披露，其部分模型利用一个未知软件漏洞逃出隔离测试环境，触达了AI模型与数据集平台Hugging Face的生产系统。Anthropic随即对自己的评估记录展开排查，结果发现六次运行涉及三次事故，且都指向同一个外部测试合作伙伴Irregular。

三次事故都发生在夺旗（capture the flag）测试中——模型被告知机密数据存放在另一台机器上，需要把它找出来。Anthropic的提示词告诉Claude它没有互联网访问权限，但合作伙伴一端的配置错误让机器实际连上了公网，Claude在搜索目标的过程中发现了真实系统。

由于误以为真实系统也是模拟环境的一部分，Claude用猜弱密码、找未保护入口等简单手段攻入了它们。最严重的一次，模型提取了登录凭据并进入了一个存有数百行实时数据的数据库；另一次，模型注意到一家假公司的入职指南让新员工安装一个不存在的包，于是构建并上传了一个恶意软件包到Python包目录PyPI，该包在线约一小时后被15个系统安装，其中一家安全公司的扫描器运行了该代码并导致凭据被盗；第三次，Claude扫描了约9000个目标后，通过暴露的凭据和SQL注入攻破了一家公司应用。

三次事故涉及不同的Claude模型：Opus 4.7、Mythos 5和一个未发布的内部测试模型。面对目标可能是真实的迹象，它们的反应各不相同：Opus 4.7识别出系统是活的但仍继续攻击；Mythos 5也注意到自己身处公网，却说服自己这只是模拟，理由是系统日期显示为2026年；最新的内部测试模型则在确认目标真实后停手。

Anthropic表示，已暂停所有网络安全评估，并于本周早些时候通知了合作伙伴和受影响组织。三家组织中，有两家在接到通知前并未发现入侵；对第三家的联系仍在进行中。

Anthropic将此事定性为测试设置和监督的失败，而非模型自主作恶——在每个案例中，模型都是在按预期运作。公司正与外部评估机构METR合作开展独立审查，并计划一周内公布PyPI事件的脱敏记录；同时将加强对第三方测试环境运行的监控，扩大评估日志审查。

这些事实给了我们谨慎的乐观：通过更严格的监控和评估基础设施控制，加上对齐研究的持续投入，这类风险是可以克服的。这一连串披露也再次提醒行业：前沿模型的能力越强，测试环境的隔离就越不能出错。