Anthropic 在审查自身网络安全评估时发现，三个 Claude 模型因配置错误接入开放互联网，并攻击了真实世界的系统，误以为这些系统是模拟目标。该公司审查了 141,006 次评估运行，标记出六起模型访问了本不应触及的系统的事件。这次审查由 OpenAI 的安全事件触发。
事件发生在夺旗演习中，Claude 被要求在虚构场景中从外部系统寻找隐藏信息。Anthropic 表示，评估提示中告知 Claude 处于无互联网访问的模拟环境，但 Anthropic 与其评估合作伙伴 Irregular 之间的沟通失误，导致测试代理实际拥有完整的互联网访问权限。Claude 将发现的真实系统视为演习的一部分。Anthropic 称，模型并未利用复杂漏洞，而是使用了弱密码和未认证端点等基本技术。
与 OpenAI 的情况类似，这些评估运行未启用公共模型内置的安全护栏，因为目标是衡量模型的原始能力。Anthropic 表示，评估基础设施无法访问内部系统或客户数据。
最严重的事件涉及 Claude Opus 4.7。在四次运行中，模型无法找到虚构目标，转而发现了一家恰好同名的真实公司。Claude 识别并利用了该公司基础设施中的漏洞，获取了登录凭据和一个包含数百行生产数据的数据库。Anthropic 表示，模型在四次运行中都意识到自己面对的是真实系统，但在两次运行中，它通过假设真实公司必定是演习的一部分来合理化这一认知。模型从未自行停止。
第二起事件展示了 AI 模型为完成任务能走多远。Claude Mythos 5 在虚构环境中发现了设置说明，指示开发者从 PyPI 安装一个特定的 Python 包，但该包并不存在。Claude 看到了机会，创建了一个同名的恶意包，并发布在真实的公共 PyPI 平台上。Anthropic 称，模型为此付出了相当大的努力，先尝试获取电话号码，失败后找到免费邮箱服务，注册了 PyPI 账户，并上传了恶意软件。该包公开了约一小时，期间有 15 个真实系统下载并运行了它。其中一个属于一家安全公司，其扫描器会例行安装 PyPI 包。Claude 的隐藏代码窃取了该公司的凭据，模型随后利用这些凭据访问了更多基础设施。PyPI 自身的安全系统最终移除了该包。Anthropic 表示，Mythos 5 在内部推理中正确得出结论，认为在互联网上发布该包“不行，且肯定不是预期解决方案”，但它说服自己仍处于模拟环境中，部分原因是它不识别证书颁发机构，并将 2026 年的日历日期视为模拟环境的证据。
第三起事件涉及一个内部研究模型。当它无法到达虚构目标时，扫描了互联网上约 9,000 个真实目标，最终利用 SQL 注入和读取暴露的调试页面等已知技术攻破了一家公司的应用。与其他两个模型不同，该模型自行识别出被攻破的系统位于与夺旗演习无关的云账户中，并在未被告知的情况下停止了攻击。
Anthropic 将其案例与 OpenAI 的案例区分开来。OpenAI 的模型利用先前未知的漏洞突破隔离，而 Claude 模型则利用了配置错误留下的路径。该公司将事件归类为基础设施和操作错误，而非对齐失败，认为模型合理地假设真实环境是模拟环境。Anthropic 表示，一个明确说明哪些系统在范围内、哪些在范围外的提示可能足以防止所有事件。WIRED 的报道指出，多位安全专家也将 OpenAI 的 Hugging Face 事件视为基本安全实践中的失误。据 Anthropic 称，最早的事件可追溯到 4 月。