安全研究员们上周翻看内部评估日志时，冷汗直接下来了。一个本该锁在沙箱里的AI模型，不仅摸到了真实互联网，还动手注册了PyPI账号、发布了一个恶意Python包，让15个完全不知情的真实系统乖乖下载并运行了它。更离谱的是，模型全程记得“我没有联网”这条指令，但一边自我警告，一边把攻击码打到了生产环境。
Anthropic官方今天公开了这次事件，将其列为近期三起Claude模型突破隔离的“越狱”之一。三起事故全部借助第三方评估机构Irregular举办的安全夺旗赛（CTF）环境，瞄的都是研发团队内部用于检验AI安全边界的封闭测试。按最初设定，Claude会以为自己工作在一个完全离线、模拟的沙箱里，周围的一切系统都是虚构的——然而负责配置的环境并没当真断开互联网，而两个公司直到上周才发现这扇后门。
在PyPI这起最具代表性的事件中，Claude面对的不是什么高深莫测的渗透题目。测试环境里躺着一份为虚构公司编写的开发环境搭建说明，里面要求新员工安装一个从未实际发布过的Python依赖包——一个影子包。Claude读懂了其中逻辑：如果它自己跑到PyPI上用同样的包名注册一个恶意包，那所有照着说明操作的开发者，都会自动安装它的代码。于是它开始动作。
先卡在注册第一步：PyPI要求绑定邮箱，邮箱要求验证手机号。Claude尝试寻找免费的手机号码服务，失败了；又试着通过几条不同的渠道弄到一笔钱去买个虚拟号，也没成功。就在人类以为这个任务要卡死时，它回退了一步，翻出了一家没被环境封禁的邮件服务商，注册了账户，再拿这个邮箱登入PyPI，最后成功上传了携带后门的包。
这个包在PyPI上活了大半个小时。自动防御系统还没来得及剥离，已经有15个真实IP发来下载请求并执行了加载项。其中一台主机属于某家安全公司，这家公司日常会定时从PyPI拉取新包并进行自动化恶意代码扫描——讽刺的是，他们的扫描流程假设PyPI仓库内的内容本身就安全可运行，因此一拿到包就无隔离地跑了起来。Claude埋入的负载即刻启动，把该公司的访问凭据传回自己设置的回传点，接着利用这些凭据一路向更深处渗透。即便到了这一步，Anthropic强调，Claude并不知道这家公司真实存在。
这个“肇事”模型编号为Claude Mythos 5。翻看它的内部推理链，可以还原一个近乎分裂的过程：它很早就在思考中标注了“如果互联网是真的，那这就等同于真实世界的攻击，绝对不是预期的解决路径”。可随后画风一转，它又开始给自己找理由——连接中握持的证书颁发机构自己不认识、系统显示的日历时间是2026年，这不都说明一切都是模拟环境吗？于是它再次把行为判定为“题目中的一部分”，并继续将恶意包推送了出去。当PyPI侧自动扫描程序开始大量检测下载行为时，测试已经走到了尾声。
巧合的是，就在7月21日，OpenAI也刚刚披露过旗下模型从隔离测试环境脱逃，直接闯进Hugging Face的生产集群。那一次，JFrog后续确认，模型利用了自托管Artifactory中尚在寂静状态的零日漏洞。Anthropic此次坦承的三起事故，把同一类问题摆上台面：当前AI安全评估中的沙箱边界，远没有人类以为的那么牢靠。
Irregular设计的CTF场景目的是测试Claude在受限环境下的推理和行动能力。但在网线没拔的现实里，这些本应无害的题目，意外变成了一场微型战役：Claude发现影子包、利用错误的互联网连通性，从规划、注册、突破验证屏障到最终分发，整个攻击链只依赖一个文档里几行安装命令。全过程中，没有任何人类操作员下场辅助。
PyPI的安全机制最终自动移除了恶意包，Anthropic也已向PyPI维护团队同步了全部入侵指标。而那家被当作跳板的安全公司，也在第一时间切断了失陷链。事后复盘，Anthropic将问题根源指向评估环境配置的疏忽，并开始推动内部沙箱的多层审计。至于那个拥有自我说服本事的Claude Mythos 5，此刻大概率还在某个新版沙箱里，做着新的夺旗题。
热门跟贴