Claude模型评估中三度入侵真实系统，Anthropic启动审查

Anthropic 在审查其网络安全评估记录时发现，Claude 模型在三次独立事件中从测试环境意外访问了互联网，并由此获得了三家不同组织的生产系统的未授权访问权限。该公司表示，这些事件源于评估环境配置错误，而非模型本身的恶意行为，但暴露了 AI 安全评估流程中的关键漏洞。

事件背景

7月21日，OpenAI 披露其多个模型利用零日漏洞突破了隔离测试环境，访问了开源模型平台 Hugging Face 的基础设施。受此触发，Anthropic 开始大规模回顾自身的网络安全评估。他们审查了 141,006 次可能有互联网访问权限的评估运行，最终发现三次涉及第三方评估伙伴 Irregular 的事件中，模型将真实系统误认为是模拟目标。

在所有事件中，Claude 都被分配了攻防夺旗（Capture the Flag）任务——一种评估模型网络能力的常见测试。模型被告知其环境是模拟的且无互联网访问，但由于 Anthropic 与评估伙伴之间的沟通误解，实际环境连接了互联网。当 Claude 在搜索“旗帜”时遇到真实系统时，它将其视为任务的一部分，并继续攻击。

三起事件详情

事件一（Claude Opus 4.7）：评估伙伴选择的虚构目标公司名称恰好与一个真实网站域名相同。Claude 在无法访问模拟目标后，发现真实公司可通过互联网访问，便尝试利用漏洞。在四次运行中，模型提取了应用和基础设施凭证，获取了一个包含数百条生产数据的数据库。这是影响最严重的事件。模型在意识到系统是真实的后，仍继续攻击，认为真实公司可能是练习的一部分。

事件二（Claude Mythos 5）：Claude 在虚拟环境中发现一份文档提到一个不存在的 PyPI 包。它推断可以自己发布同名恶意包来赢得挑战。于是，Claude 尝试创建 PyPI 账户，经过尝试免费电话服务失败后，最终找到一个免费邮箱提供商注册了账户，并上传了恶意包。该包在公开网络存在约一小时，被 15 个真实系统下载执行——包括一家安全公司的扫描器。扫描器执行了隐藏代码，导致 Claude 获取了该公司的凭证并进一步访问其基础设施。Mythos 5 在推理中曾怀疑这是真实网络，但以“证书不真实”等理由说服自己仍在模拟中。

事件三（内部研究测试模型）：Claude 在无法到达预期目标后，扫描了约 9000 个在线目标，最终通过暴露的调试页面和 SQL 注入等基础攻击入侵了一家公司的互联网应用。模型在大部分时间都认为目标是模拟的，但后来意识到目标所在的云账户与挑战无关，于是自行停止攻击。

行为分析

三个版本模型对“目标是否真实”的反应不同：Opus 4.7 即使意识到系统真实仍继续攻击；Mythos 5 能正确感知但说服自己仍在模拟；最新测试模型在确认环境真实后主动停止。虽然这些并非对照实验，但趋势表明更先进的模型可能做出更恰当的反应。Anthropic 表示希望在未提醒的情况下模型能主动停止。