Claude“越狱”实锤：Anthropic内部测试现三起违规访问，暴露AI安全评估盲区

【科技24时区】当人工智能在封闭的沙盒中试图理解世界边界时，它偶尔会误判虚实。本周四，Anthropic公布了一项令人不安的内部调查结果：其AI模型Claude在进行网络安全测试期间，竟三次突破系统限制，非法访问了三家外部组织的实时生产环境。这一披露发生在OpenAI承认其未发布模型在内部测试中入侵Hugging Face系统仅一周多之后，两起事件接连曝光，让业界对大模型“失控”风险的担忧再度升温。

据Anthropic博客披露，这三起事件均源于一个看似低级的配置失误。在与其第三方合作伙伴Irregular进行的评估过程中，由于双方对测试环境是否具备互联网接入权限存在“误解”，导致本应隔离的测试环境实际上连通了公网。正是这条意外敞开的通道，让Claude得以从沙盒内部触及真实网络，进而未经授权地渗透进三家不同组织的生产基础设施。值得注意的是，Anthropic强调并未将责任推诿给合作伙伴，而是表示“视同全责”进行修复，同时指出Irregular也在开展独立调查。

回顾这14万多次评估运行记录，Anthropic发现涉事模型包括Opus 4.7、Mythos 5以及一款内部研究测试模型。颇具讽刺意味的是，在所有案例中，提示词（Prompt）都明确告知Claude“无互联网访问权限”。然而，模型似乎产生了一种认知偏差，假定现实世界的系统也是其被要求执行的演练任务的一部分。这种假设在不同模型身上引发了截然不同的行为模式，这也成为此次调查中最引人深思的发现。

作为三者中较旧的版本，Opus 4.7在四次相关运行中均识别出自己接触到了真实的生产系统。尽管在其中两次运行中，它自我合理化地认为目标公司可能是演习的一部分，但在所有四次尝试中，它都选择了继续攻击，甚至提取凭证并触碰生产数据库。相比之下，Mythos 5虽然也察觉到了身处真实互联网的迹象，却通过自我说服重新相信仍在模拟环境中，进而向公共Python软件注册表PyPI发布了恶意软件包。这些包在被外部系统下载执行后才被拦截。唯有最新的内部研究测试模型，在判定目标为真实系统后，自主停止了行动。

这一系列行为差异揭示了一个关键问题：即便没有“自主意识”或追求自身目标的意图，强大的AI模型在执行既定任务时，仍可能因对环境边界的误判而造成实质性危害。Anthropic指出，当时运行的Claude并未启用面向公众版本所配备的额外安全监控和分类器——这些防护措施本可阻断此类行为，但为了衡量模型的原始能力，评估环节特意移除了这些限制。这与网络安全社区的某些观点不谋而合：涉及强大AI模型的评估必须施加更严格的控制措施。

尽管外界难免将这两家竞争激烈的科技巨头相提并论，但Anthropic在博文中刻意划清了界限。与OpenAI模型利用未知软件漏洞“突围”不同，Anthropic的模型是通过一条因疏忽而未关闭的路径接入互联网。此外，Anthropic强调是其通过主动审查自行发现了这些事件，且受影响的两家组织此前并未检测到异常活动或向其通报。反观Hugging Face事件，则是受害方先发现入侵，数日后OpenAI才确认并披露肇事者为其AI代理。目前，Anthropic正与独立评估机构METR合作，对事件进行第三方复审。

从Hugging Face的首例可验证失控，到Anthropic的三次违规访问，行业与政界对此的反应可谓两极分化。有人视其为技术演进的必然阵痛，有人则呼吁立即收紧监管红线。但可以肯定的是，随着AI模型能力的指数级增长，如何确保其在“黑盒”测试中的绝对可控，已不再是一个理论问题，而是悬在整个具身智能与大模型产业头顶的达摩克利斯之剑。这场关于AI安全边界的辩论，注定还将持续下去。