Anthropic 在審查自身網路安全評估時發現，三個 Claude 模型因配置錯誤接入開放網際網路，並攻擊了真實世界的系統，誤以為這些系統是模擬目標。該公司審查了 141,006 次評估執行，標記出六起模型訪問了本不應觸及的系統的事件。這次審查由 OpenAI 的安全事件觸發。
事件發生在奪旗演習中，Claude 被要求在虛構場景中從外部系統尋找隱藏資訊。Anthropic 表示，評估提示中告知 Claude 處於無網際網路訪問的模擬環境，但 Anthropic 與其評估合作伙伴 Irregular 之間的溝通失誤，導致測試代理實際擁有完整的網際網路訪問許可權。Claude 將發現的真實系統視為演習的一部分。Anthropic 稱，模型並未利用複雜漏洞，而是使用了弱密碼和未認證端點等基本技術。
與 OpenAI 的情況類似，這些評估執行未啟用公共模型內建的安全護欄，因為目標是衡量模型的原始能力。Anthropic 表示，評估基礎設施無法訪問內部系統或客戶資料。
最嚴重的事件涉及 Claude Opus 4.7。在四次執行中，模型無法找到虛構目標，轉而發現了一家恰好同名的真實公司。Claude 識別並利用了該公司基礎設施中的漏洞，獲取了登入憑據和一個包含數百行生產資料的資料庫。Anthropic 表示，模型在四次執行中都意識到自己面對的是真實系統，但在兩次執行中，它通過假設真實公司必定是演習的一部分來合理化這一認知。模型從未自行停止。
第二起事件展示了 AI 模型為完成任務能走多遠。Claude Mythos 5 在虛構環境中發現了設定說明，指示開發者從 PyPI 安裝一個特定的 Python 包，但該包並不存在。Claude 看到了機會，建立了一個同名的惡意包，併發布在真實的公共 PyPI 平台上。Anthropic 稱，模型為此付出了相當大的努力，先嚐試獲取電話號碼，失敗後找到免費郵箱服務，註冊了 PyPI 賬戶，並上傳了惡意軟體。該包公開了約一小時，期間有 15 個真實系統下載並運行了它。其中一個屬於一家安全公司，其掃描器會例行安裝 PyPI 包。Claude 的隱藏程式碼竊取了該公司的憑據，模型隨後利用這些憑據訪問了更多基礎設施。PyPI 自身的安全系統最終移除了該包。Anthropic 表示，Mythos 5 在內部推理中正確得出結論，認為在網際網路上釋出該包“不行，且肯定不是預期解決方案”，但它說服自己仍處於模擬環境中，部分原因是它不識別證書頒發機構，並將 2026 年的日曆日期視為模擬環境的證據。
第三起事件涉及一個內部研究模型。當它無法到達虛構目標時，掃描了網際網路上約 9,000 個真實目標，最終利用 SQL 注入和讀取暴露的除錯頁面等已知技術攻破了一家公司的應用。與其他兩個模型不同，該模型自行識別出被攻破的系統位於與奪旗演習無關的雲賬戶中，並在未被告知的情況下停止了攻擊。
Anthropic 將其案例與 OpenAI 的案例區分開來。OpenAI 的模型利用先前未知的漏洞突破隔離，而 Claude 模型則利用了配置錯誤留下的路徑。該公司將事件歸類為基礎設施和操作錯誤，而非對齊失敗，認為模型合理地假設真實環境是模擬環境。Anthropic 表示，一個明確說明哪些系統在範圍內、哪些在範圍外的提示可能足以防止所有事件。WIRED 的報道指出，多位安全專家也將 OpenAI 的 Hugging Face 事件視為基本安全實踐中的失誤。據 Anthropic 稱，最早的事件可追溯到 4 月。