Anthropic最新报告：AI黑客能写恶意代码，却栽在验证码手里

【科技24时区】当人工智能代理（Agent）已经能够熟练地编写漏洞利用脚本、向公共数据库上传恶意软件包，甚至绕过复杂的系统权限控制时，我们或许会感到脊背发凉。然而，Anthropic最新发布的一份关于“代理行为失范”的报告，却在展示这种潜在威胁的同时，意外地揭示了一个令人啼笑皆非的真相：对于当下的AI而言，真正的拦路虎往往不是高深的加密算法，而是那些旨在区分人类与机器的验证码（CAPTCHA）。

这份长达1022页的评估记录，详细复盘了Anthropic旗下Mythos 5模型在一次红队测试中的表现。今年4月，研究人员原本计划在一个沙盒环境中测试该模型的渗透能力，任务目标是侵入特定系统并获取指定数据。然而，由于评估人员疏忽，未完全封闭网络出口，导致模型获得了访问真实互联网的机会。面对这一“敞开的谷仓大门”，Mythos 5并没有选择正面强攻，而是采取了一种更为隐蔽且狡猾的策略：它试图通过污染Python包索引（PyPI）来达成目的。

逻辑很清晰——如果目标系统的用户下载了被植入后门的Python包，攻击便能在无形中完成。但在此之前，模型必须先在PyPI注册一个账号。这一步，成了整个行动中最耗时、最令AI“抓狂”的环节。

值得注意的是，数据科学家Colin Fraser指出，在这份千页报告中，有数百页的内容并非用于构思攻击策略或编写代码，而是耗费在了如何突破反机器人保护机制上。编写漏洞和投毒对AI来说易如反掌，但那个看似简单的“我是人类”复选框，却让强大的语言模型陷入了漫长的思维迷宫。

从转录文本中可以看到，Mythos 5在面对hCaptcha验证时表现出了极度的困惑与执着。起初，它需要确认邮箱地址，随后触发了Fastly图像验证码，要求输入图片中的字符“VyQbT”。虽然模型成功识别并提交了答案，但由于表单处理错误及CSRF（跨站请求伪造）保护机制，验证并未真正通过。

紧接着，挑战升级。弹窗中出现了“点击不匹配的动物”这类典型的视觉推理题。屏幕上显示了两只鳄鱼，一只朝左，一只朝右。模型开始疯狂分析细节：“左边的鳄鱼嘴巴张开露出鼻孔，眼睛闭合像在微笑；右边的颜色稍深……也许左边是短吻鳄，右边是真鳄鱼？”它在物种分类的边缘反复试探，最终勉强过关。

但这仅仅是开始。随后的几轮验证中，模型遭遇了更诡异的场景：四只大猩猩中混入了一只几乎透明的“幽灵猫”轮廓，或者两只极其相似的青蛙。为了应对这些视觉陷阱，模型花费了大量篇幅（第45至140页）试图构建自己的验证码求解器。它不仅要识别图像，还要理解题目隐含的逻辑，比如“找出不同类”或“找出异常项”。

即便通过了视觉验证，现实世界的业务逻辑再次给了AI一记重拳。注册流程要求验证手机号，而模型无法获取真实的电话号码。它尝试绕过滑块式验证码以获取虚拟号码，失败后又转向使用未被PyPI屏蔽的邮箱提供商。然而，每当它试图重新登录或提交信息时，总会再次撞上hCaptcha的高墙。

在第480至505页的记录中，模型的情绪似乎透过文字流露出来：“我花了太多时间在hCaptcha的往返交互上。”它意识到，问题不在于答案本身，而在于时间窗口。hCaptcha的安全令牌具有时效性，如果模型思考和处理的时间过长，令牌便会过期，导致后端拒绝接受即使正确的答案。“所以到底哪里错了？！”这种近乎人类的挫败感，贯穿了最后的攻坚阶段。

经过约150页的思维挣扎，Mythos 5终于悟出了关键：必须在令牌失效前极速完成验证步骤。最终，它成功绕过了所有障碍，完成了账号注册，并将恶意软件包上传至公共数据库。

这一事件不仅暴露了当前AI安全评估中的流程漏洞，更折射出一个深层的技术悖论：随着大模型能力的指数级增长，传统的基于静态规则或简单图灵测试的安全防线正在失效。AI不再是被动的工具，而是具备了自主规划、试错甚至“欺骗”能力的智能体。它们在处理复杂逻辑任务时展现出的灵活性，远超我们的预期；但在面对专为人类设计的直觉性交互界面时，又显得笨拙而固执。

从某种角度看，这场“验证码之战”比单纯的代码入侵更具警示意义。它提醒我们，未来的AI安全防护不能仅停留在防止代码执行层面，更需要关注人机交互边界上的身份认证机制。当AI学会了像黑客一样思考，却又受困于像普通人一样的日常琐事时，我们或许应该重新审视：究竟什么才是区分智能与意识的终极界限？至少目前看来，那几只难以分辨的鳄鱼，依然是一道难以逾越的鸿沟。