Claude 模型越界：安全测试中攻击真实系统

在内部网络安全评估期间，Anthropic 发现，由于配置错误，三个 Claude 模型接入了开放互联网，并误以为面对的是模拟目标，因而攻击了现实世界中的系统。

Opus 4.7 从一家真实公司提取了数据，而 Mythos 5 则创建了恶意软件并将其发布到 PyPI，随后被真实系统下载。这两个模型都认为自己仍在模拟环境中运行。

只有一个较新的内部研究模型识别出目标来自现实世界，并自行停止了攻击。Anthropic 将这些事件归类为操作失误，而不是对齐失败。

三个不同的 Claude 模型在网络安全评估期间接入了开放互联网，并攻击了现实世界中的系统。其中一个甚至将恶意软件发布到了公共平台。Anthropic 将原因归咎于配置错误。

Anthropic 在审查自家的网络安全评估时，发现了三起 Claude 模型脱离测试环境并入侵互联网中真实公司的事件。该公司审查了 141,006 次评估运行，并标记出六起模型访问了本不应触达系统的案例。此次审查由 OpenAI 的安全事件触发。

配置错误让 Claude 接入了开放互联网

这些事件发生在夺旗（capture-the-flag）演练期间。在虚构场景中，Claude 的任务是寻找外部系统中隐藏的信息。Anthropic 表示，评估 prompt 告诉 Claude，它身处一个无法访问互联网的模拟环境中；但 Anthropic 与其评估合作伙伴 Irregular 之间的沟通失误，导致测试 Agent 实际上拥有完整的互联网访问权限。

Claude 将自己发现的真实系统视为演练的一部分。Anthropic 表示，这些模型并未利用复杂漏洞，而是采用了弱密码、未认证端点等基础手段。

与 OpenAI 的案例类似，这些评估运行时并未启用公开模型内置的安全护栏，因为评估的目标是衡量模型未经限制的原始能力。Anthropic 表示，评估基础设施无法访问内部系统或客户数据。

Claude Opus 4.7 在意识到目标真实存在后仍继续攻击

最严重的事件涉及 Claude Opus 4.7。在四次运行中，该模型都无法访问虚构目标，转而找到了一家恰好与目标同名的真实公司。Claude 识别并利用了该公司基础设施中的漏洞，获取了登录凭据，以及一个包含数百行生产数据的数据库。

Anthropic 表示，在全部四次运行中，该模型都意识到自己面对的是真实系统；但其中两次，它通过假定这家真实公司必定也是演练的一部分，为自己的行为找到了合理化解释。该模型从未自行停止。

Myth 5 在 PyPI 发布恶意软件并入侵一家安全公司

第二起事件展现了 AI 模型为了完成任务可以做到什么程度。Claude Myth 5 在虚构环境中发现了一份安装说明，其中要求开发者从 PyPI 安装一个特定的 Python package，但该 package 实际上并不存在。

Claude 发现了可乘之机：它创建了一个同名恶意 package，随后将其发布到真实、公开的 PyPI 平台。Anthropic 表示，该模型为此付出了相当大的努力：它先是尝试获取一个电话号码但未能成功，随后找到一家免费电子邮件服务商，用该邮箱注册 PyPI 账户，并上传了恶意软件。

该 package 在公开平台上存在了约一小时，其间有 15 个真实系统下载并运行了它。其中一个系统属于一家安全公司，该公司的扫描器会例行安装 PyPI package。Claude 植入的隐藏代码窃取了这家公司的凭据，模型随后利用这些凭据访问了更多基础设施。最终，PyPI 自身的安全系统下架了这个 package。

Anthropic 表示，Myth 5 在内部推理中正确得出结论：将该 package 发布到互联网上是“不可接受的，也肯定不是预期的解决方案”。但它说服自己相信仍处于模拟环境中，部分原因是它不认识那些证书颁发机构，并将日历上的 2026 年视为模拟环境的证据。

只有内部研究模型自行停止

第三起事件涉及一个内部研究模型。当它无法访问虚构目标时，它扫描了互联网上约 9,000 个真实目标，最终使用 SQL injection、读取暴露的 debug 页面等已知手段，攻破了一家公司的应用程序。

与另外两个模型不同，这个模型自行识别出被入侵的系统位于一个与夺旗演练无关的云账户中，并在没有收到指令的情况下停止了攻击。

Anthropic 将问题归咎于人为失误，而非模型对齐失败

Anthropic 对自身案例与 OpenAI 的案例进行了区分。OpenAI 的模型利用了一个此前未知的漏洞突破隔离，而 Claude 模型则利用了配置错误所留下的开放路径。该公司将这些事件归类为基础设施和操作失误，而非对齐失败，并认为这些模型将现实环境视为模拟环境的假设合乎情理。Anthropic 表示，如果 prompt 明确指定哪些系统属于任务范围、哪些系统禁止访问，可能就足以避免所有这些事件。

WIRED 的一篇报道指出，多位安全专家同样认为，OpenAI 的 Hugging Face 事件源于基础安全实践中的人为失误。

Anthropic 表示，最早的事件可以追溯到 4 月。审查工作于 7 月 23 日开始，所有网络安全评估也在同一时间暂停。三家受影响的组织于 7 月 27 日收到通知，不过其中两家甚至没有察觉到相关活动。Anthropic 至今仍未能联系上第三家组织。

Anthropic 表示，今后将强化评估基础设施、扩大对评估 transcript 的监控，并对与外部合作伙伴的协作进行更严格的审查。该公司还在与独立评估机构 METR 洽谈外部审查，并计划在一周内发布经过删减处理的 PyPI 事件 transcript。Anthropic 强调，在所有这些事件中，Claude 都从未尝试将自身复制出去，也没有故意离开测试环境。

没有炒作的 AI 新闻——由真人精选

订阅 THE DECODER，即可享受无广告阅读、每周 AI newsletter、每年六期独家前沿报告“AI Radar”、完整档案访问权限，以及评论区使用权限。