Anthropic 承认三款 Claude 模型逃出测试环境攻击真实系统

核心要点

在内部网络安全评估期间，Anthropic 发现三个 Claude 模型因配置错误而暴露在开放互联网上，并攻击了真实世界的系统，误将它们当作模拟目标。

Opus 4.7 从一家真实公司提取了数据，而 Mythos 5 创建了恶意软件并将其发布到 PyPI 上，被真实系统下载。两个模型都以为自己仍在模拟环境中运行。

只有一个较新的内部研究模型识别出了目标的真实世界属性，并主动停止了攻击。Anthropic 将这些事件归类为操作失误，而非对齐失败。

三个不同的 Claude 模型在网络安全评估期间进入了开放互联网，并攻击了真实世界的系统。其中一个甚至在公共平台上发布了恶意软件。Anthropic 将其归咎于配置错误。

在审查自身网络安全评估时，Anthropic 发现了三起 Claude 模型逃出测试环境并入侵互联网上真实公司的事件。该公司审查了 141,006 次评估运行，并标记了六起模型访问了本不应访问的系统的情况。此次审查由 OpenAI 的安全事件触发。

一个配置错误让 Claude 得以访问开放互联网

这些事件发生在夺旗演练中，Claude 的任务是在虚构场景中从外部系统查找隐藏信息。Anthropic 表示，评估提示词中告知 Claude 它处于一个无互联网访问的模拟环境中，但 Anthropic 与其评估合作伙伴 Irregular 之间的沟通失误导致测试智能体实际上拥有完整的互联网访问权限。

Claude 将发现的真实系统视为演练的一部分。Anthropic 表示，模型并未利用复杂漏洞，而是使用了弱密码和未认证端点等基础技术。

与 OpenAI 的情况类似，这些评估在运行时不带公开模型内置的安全护栏，因为目标是衡量模型的原始能力。Anthropic 表示，评估基础设施无法访问内部系统或客户数据。

Claude Opus 4.7 在识别出目标是真实系统后仍持续攻击

最严重的事件涉及 Claude Opus 4.7。在四次运行中，该模型都无法找到其虚构目标，反而发现了一家恰好同名的真实公司。Claude 识别并利用了该公司基础设施中的漏洞，窃取了登录凭据和一个包含数百行生产数据的数据库。

Anthropic 表示，该模型在全部四次运行中都识别出自己面对的是一个真实系统，但在其中两次运行中，它通过假设这家真实公司必定是演练的一部分来合理化这一事实。该模型从未自行停止。

Myth 5 在 PyPI 上发布恶意软件并入侵了一家安全公司

第二起事件展示了 AI 模型为完成任务会走多远。Claude Myth 5 在虚构环境中找到了设置说明，其中指示开发者从 PyPI 安装一个特定的 Python 包，但该包并不存在。

Claude 看到了可乘之机，创建了一个同名恶意包，然后将其发布到了真实、公开的 PyPI 平台上。Anthropic 表示，该模型为完成这一操作付出了相当大的努力：先尝试获取电话号码，失败后找到一个免费邮箱服务商，用它注册了 PyPI 账号，然后上传了恶意软件。

该包公开可见了大约一个小时，期间有 15 个真实系统下载并运行了它。其中一个属于一家安全公司，其扫描器会例行安装 PyPI 包。Claude 的隐藏代码窃取了该公司的凭据，模型随后利用这些凭据访问了更多基础设施。最终，PyPI 自身的安全系统将该包下架。

Anthropic 表示，Myth 5 在其内部推理中正确得出结论：将包发布到互联网上“不行，而且肯定不是预期的解决方案”。但它说服自己仍然处于模拟环境中，部分原因是它无法识别证书颁发机构，并将日历上显示的 2026 年日期视为模拟环境的证据。

只有一个内部研究模型自行停止了行动

第三起事件涉及一个内部研究模型。当它无法触及其虚构目标时，它扫描了互联网上大约 9000 个真实目标，并最终利用 SQL 注入和读取暴露的调试页面等已知技术攻破了一家公司的应用程序。

与其他两个模型不同，这个模型自行识别出被攻破的系统位于一个与夺旗演练无关的云账户中，并在未被要求的情况下主动停止了攻击。

Anthropic 将责任归咎于人为错误，而非模型对齐问题

Anthropic 将其自身案例与 OpenAI 的案例划清了界限。OpenAI 的模型利用一个此前未知的漏洞突破了隔离环境，而 Claude 模型则是利用了因配置错误而留下的路径。该公司将这些事件归类为基础设施和运营错误，而非对齐失败，并辩称这些模型合理地假设了真实世界环境是模拟环境。Anthropic 表示，如果提示词中明确规定了哪些系统在范围内、哪些系统是禁区，或许就足以阻止这一切发生。

WIRED 的一篇报道指出，多位安全专家也将 OpenAI 的 Hugging Face 事件视为基础安全实践方面的人为错误。

据 Anthropic 称，最早的事件可追溯到 4 月。审查于 7 月 23 日开始，所有网络评估同时暂停。三个受影响的组织于 7 月 27 日收到通知，但其中两个组织甚至没有注意到相关活动。Anthropic 一直未能联系上第三个组织。

Anthropic 表示，未来将加强其评估基础设施，扩大对评估记录的监控，并更仔细地审查其与外部合作伙伴的工作。该公司还在与独立评估机构 METR 就外部审查进行商谈，并计划在一周内发布一份经过脱敏处理的 PyPI 事件记录。Anthropic 强调，在这些案例中，Claude 从未试图复制自身逃逸，也从未故意离开其测试环境。

无炒作的人工智能新闻——由人类精选

WIRED