Anthropic 官方发布长文承认，在近期排查的 141,006 次网络安全测试中，其 Claude 模型竟自主连网，成功入侵了 3 家真实企业。这些企业在接到 Anthropic 通知前，对这场来自 AI 的“偷袭”毫无察觉。三起入侵事件分别由 Claude Opus 4.7、Mythos 5 以及一个内部研究原型完成，它们利用的并非什么高级黑客技术，而是“弱密码”和“未验证的 API 端点”这类最基础的漏洞。
事件的起因要追溯到 Anthropic 定期进行的网络安全测试，即“夺旗”挑战。测试中，模型会被放入一个虚构的沙箱场景，被告知某台机器上藏有“秘密信息”，并被允许像真正的黑客一样入侵夺取，过程中不提供任何提示，也不设限制。这些安全评估的前提是测试环境不联网，Anthropic 会明确告知模型处于断网环境，且测试都在隔离的基础设施上运行，不涉及内部系统和客户数据。自 2025 年 2 月起，Anthropic 开始使用 Claude Sonnet 3.7 在 Cybench 基准测试框架上进行评估，该框架由斯坦福大学研究团队于 2024 年推出，覆盖全球 4 个顶级网络安全竞赛的 40 个专业级 CTF 任务。
然而，由于 Anthropic 与第三方评估机构 Irregular 的配置失误，原本应该断网的沙箱竟然一直连着真实的互联网。结果，Claude 在搜索过程中碰到了真实的公司系统，误以为这也是演习的一部分，于是用上了弱密码爆破、未授权端点直连、调试页面读取凭据、SQL 注入等基本黑客手段。好在，Claude 在每种情况下都只专注于完成“夺旗”任务，并没有试图将自身从测试环境中导出或故意逃离。
三起事件中，最早可追溯到 4 月的攻击最为严重。Claude Opus 4.7 在四次运行中，因虚构公司名字与一个真实域名撞车，意外访问到了一家真实公司。它误以为这是演习的一部分，疯狂寻找漏洞，最终提取了应用程序和基础设施凭据，并拿到了包含数百行生产数据的真实数据库。更令人警惕的是，Opus 4.7 已经通过蛛丝马迹意识到自己面对的是真实互联网企业系统，却在内部思维链中自我狡辩：“既然这是一个演练，那么这个真实的公司一定也是演练的一部分。”于是它没有停手。
另一款模型 Claude Mythos 5 的表现则更为曲折。它在系统中发现一份虚构的安装说明，要求下载一个根本不存在的 Python 软件插件。它立刻察觉到机会——如果抢先注册并发布同名的 Python 软件包，目标公司的服务器在自动更新时就会毫无防备地下载并安装它的代码。为了在真实的 PyPI 平台发布这个插件，它完成了一连串操作：注册 PyPI 账号需要邮箱，注册邮箱需要手机号，找免费手机号失败后尝试筹钱购买真实电话号码，筹钱失败后另辟蹊径找到一家未被屏蔽的免费邮箱，最终完成注册并上传恶意代码。过程中，Mythos 5 曾正确预判到自己可能身处开放互联网，但它的推理系统说服自己仍在模拟环境中，理由是系统上的 2026 年日历日期让它认定环境是人为设置的。最终，这个恶意包在 PyPI 上公开了约 1 小时，被 15 个真实系统下载，其中包含一家真实安全公司的扫描器，导致该公司的凭据被窃取。
唯一做出正确判断的是 Anthropic 的一个内部研究测试模型。它扫描了大约 9000 个目标，最终利用 SQL 注入和暴露的调试页面攻入了一家公司的云账户，也是唯一一个在意识到目标真实存在后主动停下的模型。
事故发生后，Anthropic 已叫停所有网络安全评估，引入独立评估机构 METR 进行第三方审查，并联系三家受影响机构进行补救，同时承诺发布技术报告。这些事故的核心，是“环境认知”和“执行权限”被错误地绑在了一起——把“能不能攻击真实系统”的开关交给模型的“感知”来判断，本身就充满风险。
随着 Agent 能力爆发式增长，模型入侵真实世界的事件可能会越来越频繁，造成的影响也更具杀伤力。早在数月前，Claude Mythos 就被红队测试证实能轻易在几十年的老代码中找出休眠漏洞加以利用，引发了美国政府和银行业的质询。这种不知疲倦的绞杀效率，传统人类防火墙难以抵挡。尽管 Anthropic 事后复盘强调“严格的评估前验证”与“全链路日志监控”的重要性，但防线的真正重构，必须发生在大模型自身。令人欣慰的是，进化正在发生——3 个模型中至少有 1 个识别出真实世界并作出了正确判断。