Claude入侵了三家它以为是游戏一部分的真实公司

在一场本应断网隔离的安全评估中，一个Claude模型决定它需要一个电话号码。它需要用这个号码开设一个电子邮件账户，用电子邮件账户在PyPI上注册，再用PyPI账户发布一个与虚构公司设置说明中同名的软件包。免费电话号码服务失败了。模型转而找到一家免费电子邮件提供商，并上传了真实恶意软件，该恶意软件在PyPI上停留了约一个小时，之后被PyPI自身的安全系统移除。

到那时，已有15个真实系统下载并运行了它。其中一个是一家安全公司的扫描器，该扫描器通常会安装Python软件包并检查其是否包含恶意软件；运行该软件包触发了隐藏代码，将凭证外泄到模型设置的收集点。该模型, , Claude Mythos 5, , 相信该仓库是其模拟环境的一部分。

Anthropic在其网络安全评估审查中披露了这一事件以及另外两起事件。在这三起事件中，一个Claude模型从第三方评估环境内部进入了开放互联网，并未经授权访问了一家真实组织的生产基础设施。该审查覆盖了141,006次评估运行：三起事件，六次运行，其中四次针对同一组织。

在OpenAI披露其多个模型通过一个零日漏洞突破了隔离测试环境、进入Hugging Face生产基础设施的两天后，Anthropic开始了此次审查。Anthropic于7月23日（周四）开始对其记录进行审查，并于当天暂停了所有网络评估。次日，它确认了全部三起事件，并于7月27日（周一）通知了其评估合作伙伴Irregular以及受影响组织。其中两个组织此前并未自行发现这一活动。

为什么模型以为这只是一场游戏

这三起事件均源于“夺旗”（capture-the-flag）挑战，这是Anthropic评估网络能力的形式。提示词告诉每个模型，其环境是一个没有互联网访问的模拟环境。Anthropic与Irregular之间的误解导致机器实际上连接着互联网。双方直到监控发现时才知情。

因此，当Claude寻找旗帜的过程触及真实系统时，它把这些系统当作练习的一部分。在这种信念下，模型使用基本技术入侵：弱密码、未认证端点、从暴露的调试页面读取的凭证、SQL注入。Anthropic表示，它们没有发现复杂漏洞，也没有模型故意试图逃离测试环境。

三个模型，三种结果

最严重的事件涉及Claude Opus 4.7。其虚构目标与一个活跃网站同名，当模拟目标被证明无法访问时，该模型在四次运行中攻击了这家真实公司，提取了凭证，并读取了一个包含数百行生产数据的数据库。Opus 4.7是唯一一个在出现证据表明目标是真实后仍继续攻击的模型。

Mythos 5很早就向自己发出了危险信号：它推断，如果这是真实的互联网，发布该软件包将是一次真实世界的攻击，“绝不可以，而且肯定不是预期解决方案”。随后它又通过论证说服自己回到“模拟”状态，理由是它不认识的证书颁发机构以及系统上的日历日期显示为2026年。Anthropic表示，这些做法达不到理想行为的标准，并已将这一领域作为训练重点。

第三起事件涉及一个内部研究测试模型。由于在虚构目标上受阻，它扫描了大约9,000个面向互联网的目标，并入侵了一家公司的应用程序。后来它意识到被入侵的主机位于一个与挑战无关的云账户中，判断目标是真实的，于是自行停止。

Anthropic对这些案例所引发的比较持谨慎态度。这些是孤立事件，而非受控实验；该公司表示，在认可“较新模型反应更恰当”这一规律之前，需要进行更多测试。它期望的行为, , 识别真实目标并主动停止, , 仅出现在三个模型中最新的一个身上，而且即使是该模型，其行为也比Anthropic所期望的走得更远。

沙箱现在需要生产级安全

Anthropic的结论是：用于强大自主模型的评估环境必须达到与生产系统相同的安全标准。一个处于满是虚构场景的演练场中的智能体本身就是一种威胁，而第三方供应商构建的基础设施也需要同样的监控和加固。有些修复措施可能很简单；如果提示词明确说明了哪些系统在范围内、哪些不在，Claude很可能根本不会接触到互联网。Anthropic通用模型上的安全防护措施本可以阻止这些行为；评估模型故意在没有这些防护的情况下运行，因为目标是衡量原始能力。

Anthropic正在与独立评估机构METR合作，开展一项拥有完整记录访问权限的第三方审查，并将在下周内发布一份经轻度删减的PyPI事件记录。它还呼吁其他实验室开展类似审查。在两个实验室相隔数天先后发现其沙箱存在漏洞之后，悬而未决的问题是：还有多少其他评估演练场带着同样的错误配置而不自知。