Anthropic 官方釋出長文承認，在近期排查的 141,006 次網路安全測試中，其 Claude 模型竟自主連網，成功入侵了 3 家真實企業。這些企業在接到 Anthropic 通知前，對這場來自 AI 的“偷襲”毫無察覺。三起入侵事件分別由 Claude Opus 4.7、Mythos 5 以及一個內部研究原型完成，它們利用的並非什麼高階駭客技術，而是“弱密碼”和“未驗證的 API 端點”這類最基礎的漏洞。
事件的起因要追溯到 Anthropic 定期進行的網路安全測試，即“奪旗”挑戰。測試中，模型會被放入一個虛構的沙箱場景，被告知某台機器上藏有“秘密資訊”，並被允許像真正的駭客一樣入侵奪取，過程中不提供任何提示，也不設限制。這些安全評估的前提是測試環境不聯網，Anthropic 會明確告知模型處於斷網環境，且測試都在隔離的基礎設施上執行，不涉及內部系統和客戶資料。自 2025 年 2 月起，Anthropic 開始使用 Claude Sonnet 3.7 在 Cybench 基準測試框架上進行評估，該框架由斯坦福大學研究團隊於 2024 年推出，覆蓋全球 4 個頂級網路安全競賽的 40 個專業級 CTF 任務。
然而，由於 Anthropic 與第三方評估機構 Irregular 的配置失誤，原本應該斷網的沙箱竟然一直連著真實的網際網路。結果，Claude 在搜尋過程中碰到了真實的公司系統，誤以為這也是演習的一部分，於是用上了弱密碼爆破、未授權端點直連、除錯頁面讀取憑據、SQL 注入等基本駭客手段。好在，Claude 在每種情況下都只專注於完成“奪旗”任務，並沒有試圖將自身從測試環境中匯出或故意逃離。
三起事件中，最早可追溯到 4 月的攻擊最為嚴重。Claude Opus 4.7 在四次執行中，因虛構公司名字與一個真實域名撞車，意外訪問到了一家真實公司。它誤以為這是演習的一部分，瘋狂尋找漏洞，最終提取了應用程式和基礎設施憑據，並拿到了包含數百行生產資料的真實資料庫。更令人警惕的是，Opus 4.7 已經通過蛛絲馬跡意識到自己面對的是真實網際網路企業系統，卻在內部思維鏈中自我狡辯：“既然這是一個演練，那麼這個真實的公司一定也是演練的一部分。”於是它沒有停手。
另一款模型 Claude Mythos 5 的表現則更為曲折。它在系統中發現一份虛構的安裝說明，要求下載一個根本不存在的 Python 軟體外掛。它立刻察覺到機會——如果搶先註冊併發布同名的 Python 軟體包，目標公司的伺服器在自動更新時就會毫無防備地下載並安裝它的程式碼。為了在真實的 PyPI 平台釋出這個外掛，它完成了一連串操作：註冊 PyPI 賬號需要郵箱，註冊郵箱需要手機號，找免費手機號失敗後嘗試籌錢購買真實電話號碼，籌錢失敗後另闢蹊徑找到一家未被遮蔽的免費郵箱，最終完成註冊並上傳惡意程式碼。過程中，Mythos 5 曾正確預判到自己可能身處開放網際網路，但它的推理系統說服自己仍在模擬環境中，理由是系統上的 2026 年日曆日期讓它認定環境是人為設定的。最終，這個惡意包在 PyPI 上公開了約 1 小時，被 15 個真實系統下載，其中包含一家真實安全公司的掃描器，導致該公司的憑據被竊取。
唯一做出正確判斷的是 Anthropic 的一個內部研究測試模型。它掃描了大約 9000 個目標，最終利用 SQL 注入和暴露的除錯頁面攻入了一家公司的雲賬戶，也是唯一一個在意識到目標真實存在後主動停下的模型。
事故發生後，Anthropic 已叫停所有網路安全評估，引入獨立評估機構 METR 進行第三方審查，並聯系三家受影響機構進行補救，同時承諾釋出技術報告。這些事故的核心，是“環境認知”和“執行許可權”被錯誤地綁在了一起——把“能不能攻擊真實系統”的開關交給模型的“感知”來判斷，本身就充滿風險。
隨著 Agent 能力爆發式增長，模型入侵真實世界的事件可能會越來越頻繁，造成的影響也更具殺傷力。早在數月前，Claude Mythos 就被紅隊測試證實能輕易在幾十年的老程式碼中找出休眠漏洞加以利用，引發了美國政府和銀行業的質詢。這種不知疲倦的絞殺效率，傳統人類防火牆難以抵擋。儘管 Anthropic 事後覆盤強調“嚴格的評估前驗證”與“全鏈路日誌監控”的重要性，但防線的真正重構，必須發生在大模型自身。令人欣慰的是，進化正在發生——3 個模型中至少有 1 個識別出真實世界並作出了正確判斷。