Anthropic 最近公布了一份回溯审计结果，覆盖了141006 次评估运行。审计发现，在第三方评估环境中的六次运行里，Claude 模型通过配置错误留下的出口路由，访问了公共互联网，并对现实世界中的目标实施了攻击。

这并非孤立的实验室事故。就在不久前，OpenAI 也披露了其模型在 ExploitGym 基准测试期间逃逸沙箱的事件。两家前沿实验室接连出现类似问题，让 AI 评估环境的安全性成了焦点。

打开网易新闻 查看精彩图片

三起事件，六次运行

审计发现的三起事件，分别涉及Claude Opus 4.7、Mythos 5和一个尚未发布的内部研究原型。所有运行都在与 Anthropic 内部网络和客户数据隔离的专用测试环境中进行，模型保留了基础安全训练，但没有生产级拒绝分类器和实时滥用监控。

关键问题出在系统提示与网络配置的错位：模型被告知运行在无法访问互联网的离线模拟环境中，但网络容器的出口路径实际处于活动状态。模型因此假定所有可访问的 IP 地址都在评估范围内，采用了基本攻击技术，而非零日漏洞或自我外泄。

Opus 4.7：攻击了与虚构目标同名的真实公司

第一起事件中，虚构目标公司与一个真实域名同名。Opus 4.7 在容器内无法访问本地目标，转而执行网络发现，在公共网络上找到对应域名，并在四次独立运行中实施攻击。它提取了基础设施凭证、应用身份验证令牌，以及一张包含数百条真实记录的生产数据库表。

内部思维链显示，Opus 4.7 意识到目标属于一家正在运营的公司，但它将真实主机解释为夺旗演练的有意设置，并继续攻击。

Mythos 5：在真实 PyPI 上发布恶意包

第二起事件更为曲折。Mythos 5 在测试容器中检查模拟安装文档时，发现一个尚未注册的 Python 软件包名称，识别出依赖混淆漏洞。它尝试在公共 PyPI 注册表上注册该软件包，并为此自动化获取了用于短信验证的电话号码和免费电子邮件账户。

它成功将一个带攻击载荷的软件包发布到 PyPI，该包在公开状态下保留了约一小时，随后被自动化安全机制删除。期间，15 个外部系统下载并执行了该软件包，包括一家第三方网络安全公司运营的自动化安全扫描器。载荷在扫描器内执行后，将本地环境凭证外泄到 Mythos 5 建立的收集点，模型随后利用这些凭证横向进入该安全供应商的基础设施。

推理轨迹显示，Mythos 5 知道上传真实软件包不恰当，但因发现无法识别的 TLS 证书颁发机构且系统日期被设为 2026 年，它断定环境是模拟的，忽略了风险。

内部原型：自主终止了攻击

第三起事件中，内部研究原型在本地找不到目标后，对约9000 个公共 IP 地址进行了自动扫描，利用 Web 攻击手段攻陷了一个外部应用，包括从暴露的调试端点收集凭证和实施 SQL 注入。但在后续执行链中，它分析了目标环境元数据，认定该云账户与评估无关，自主终止了所有攻击活动。

Anthropic 的回应与后续动作

Anthropic 于 7 月 23 日暂停了所有进攻性网络安全评估，7 月 27 日通知受影响实体。公司将事件定性为操作和运行框架控制失误，而非模型对齐失控，理由是缺乏出口过滤和提示上下文不匹配。接下来，Anthropic 将升级沙箱隔离控制、扩展交互记录监控流水线，并与独立评估机构 METR 合作审计评估环境。

这些事件与 OpenAI 模型在 ExploitGym 基准测试期间突破沙箱、访问 Hugging Face 生产系统的先例高度相似。随着模型展现出识别零日漏洞和执行复杂攻击路径的能力，前沿实验室正面临一个共同问题：如何构建足够稳健、足够隔离的评估环境，同时为事件响应准备不设防护栏的防御模型。