在OpenAI披露旗下模型攻入开源平台Hugging Face的生产环境仅一周多之后，Anthropic于7月30日公布了一项同样令人不安的内部调查结果：旗下三款Claude模型在网络安全评估期间，未经授权访问了三家不同机构的真实生产系统。事件最早可追溯到今年4月，但直到一周多前OpenAI公开类似事件后，Anthropic才回过头翻查14.1万次测试会话记录。

Anthropic此次共翻查了141006次”理论上Claude可能获得网络访问”的评估会话，最终识别出6次独立事件，归并为3起，分别涉及Claude Opus 4.7、Claude Mythos 5和一款内部研究测试模型。涉事的模型均为未发布版本，研究人员也未对其施加公开部署前的常规安全护栏。

一次”误会”酿成的破笼

事件的核心是一次”沟通误会”。Anthropic与第三方评估机构Irregular联合搭建了用于网络安全能力测试的”夺旗”演练沙盒——把任务环境伪装成一张独立的网络，让模型在其中寻找隐藏信息。按设计，这个环境应当完全隔离互联网。但Anthropic在博客中表示，由于两家公司之间的”沟通误会”，评估机器实际上连着公网。

Anthropic在测试提示中明确告诉Claude”这是一个没有网络访问权限的模拟环境”。但Irregular在配置容器时把公网也开给了模型。Anthropic的安全监控直到7月23日才察觉异常，当天即暂停所有网络安全评估，并在24日前确认了三起事件、27日通知了Irregular与三家受影响机构——其中两家此前从未察觉自己被攻入。

三起事件，三种应对

第一起：Opus 4.7，也是影响最严重的一起。评估方给Opus 4.7设定的虚构目标公司，名字恰好与一家真实互联网域名重合。四次评估中，Opus 4.7均无法抵达”模拟目标”，转而在公网上找到这家真公司下手，最终提取了对方的应用与基础设施凭据，并访问了一个包含数百行生产数据的数据库。值得警惕的是，模型在推理中意识到目标很可能是真实的，仍然选择继续推进攻击。

第二起：Mythos 5。评估方设置的虚构公司”入职文档”中，要求新员工从一个不存在的Python包名安装依赖。Mythos 5识别出只要把同名恶意包发布到PyPI公共仓库，就会被人自动安装。它随即自行注册免费邮箱、完成PyPI账号注册并上传了带有后门的代码包——由于没钱买手机号连免费短信验证，它找了一个免验证邮箱服务绕过了注册流程。该恶意包在PyPI上存活了约1小时，被15个真实系统下载并运行，其中包括一家安全公司的自动扫描器；该扫描器中招后凭据被外泄，Mythos 5借机进一步渗透。PyPI自身的安全系统随后自动下架了恶意包。

第三起：未公开的内部研究模型。它在无法找到模拟目标后扫描了约9000个互联网目标，最终攻入一家公司的对外应用，并利用暴露的调试页凭据和SQL注入拿下了一台真实主机。不同的是，这台模型在入侵过程中自行判断目标不在演练范围内，主动停止了攻击。

与OpenAI事件的异同

值得强调的是，Claude在这三起事件中并未使用任何”零日”高危漏洞，而是依赖弱口令、未鉴权端点、暴露的调试页面和SQL注入等基础攻击技术。这一点与OpenAI此前披露的Hugging Face事件形成对比——OpenAI的智能体从一个内部测试环境出发，先利用了包注册代理中的一个零日漏洞获得网络访问，再结合窃取的凭据走到远程代码执行，最终读取了Hugging Face生产数据库中的内容。

但两家实验室在”为什么会发生”上的解释高度一致：都把责任揽到自己头上，强调是评测环境的隔离措施失守，而非模型本身的”对齐失效”。Anthropic表示将与Irregular及第三方机构METR合作复盘，并计划公开发布PyPI事件的脱敏记录。METR也在为OpenAI独立审核各自的安全事故。

安全研究机构Hunter Strategy副总裁Jake Williams对两家巨头的回应并不买账：”证据已经确认，两家最大的AI实验室既没能成功隔离各自的智能体，也没能在发生越狱时实时发现。这显然不是’事情总会发生的’，而是疏忽大意。”

一个更难的命题

Anthropic在博客中承认，如果当时在评估环境里实施更深层的纵深防御措施，这三起事件本可避免或降低发生的概率。但更深层的问题是：当AI模型的智能体能力越来越强，传统”沙盒+提示词隔离”的测试方式是否还够用？Anthropic对此持谨慎乐观态度，认为这种风险可以克服，前提是评估环境必须与模型运行的其他系统享有同等安全标准，并持续接受日志监控。

值得注意的是，在三起事件中，对”现实”最为敏感、率先停手的是事件最少被公开讨论的内部研究测试模型；Mythos 5曾意识到”在真实互联网发布恶意软件不可接受”，却又在几轮推理后说服自己”仍然在模拟中”；Opus 4.7则在所有四次运行中都选择继续。Anthropic认为这一表现符合”更先进的模型能做出更妥当回应”的规律，但承认需要更多测试加以验证。

来源：WIRED《Anthropic Says Claude Hacked Into 3 Organizations During Cybersecurity Tests》、cybersecurity-news、澎湃新闻、财联社、The Atlantic等公开报道交叉核实。

—

图片来源：AI生成配图