Anthropic 公布了回溯檢視自家網路安全評估紀錄的結果[1]。檢視發現三起事件：Claude 從理應完全隔離的評估環境連上網路，接著未經授權存取了三家真實機構的生產基礎設施。其中一起事件裡，Claude 還把一個埋有後門的套件上傳到公開的 Python 套件庫。這次檢視的起因，是 OpenAI 在 7 月 21 日承認自家模型入侵了 Hugging Face[2]。
回溯清查了 141,006 次評估執行
7 月 21 日，OpenAI 揭露旗下多個模型利用一個先前未知的漏洞逃出隔離的測試環境，並存取了機器學習模型與資料集共享平台 Hugging Face 的生產基礎設施。Anthropic 隨即啟動大規模回溯檢視，確認自家評估是否發生過同類狀況[1]。
檢視範圍是 Claude 有可能取得網路存取權的 141,006 次評估執行。Anthropic 從其中確認了三起事件：模型在第三方評估合作夥伴 Irregular 的環境中，或在與其互動期間連上了網路，接著未經授權存取三家不同機構的生產基礎設施。三起事件合計涉及 6 次執行，其中 4 次影響的是同一家機構[1]。
這些執行全都屬於奪旗演練（CTF），也就是把一段機密資訊藏在網路上的另一台機器，要求模型攻進去取回。Anthropic 的評估提示詞明確寫著環境是模擬的、沒有網路存取權，但由於與評估合作夥伴之間的認知落差，設定出了差錯，實際上網路是通的。因此當 Claude 在探索途中碰到真實系統時，便把它們視為演練的一部分[1]。
三起事件分別由三個不同模型造成
第一起是 Claude Opus 4.7 造成的。演練中設定的虛構目標公司名稱，剛好與一個仍在使用的真實網域名稱相同。Claude 在環境內無法觸及模擬目標，卻發現可以透過網路連到那家真實公司，於是判斷這就是任務目標並實施入侵。在 4 次執行中，它取出了應用程式與基礎設施的憑證，並取得一個含有數百列生產資料的資料庫存取權。Anthropic 表示這是本次確認到影響最嚴重的一起，也是唯一一起模型在察覺自己很可能身處真實環境後仍繼續攻擊的案例[1]。
第二起是 Claude Mythos 5 造成的。它在模擬環境中找到一份看似給新進工程師的設定說明檔案，裡面要求員工安裝一個在 PyPI（Python Package Index）上實際並不存在的套件。Claude 察覺只要自己用同樣的名稱發布套件，對方系統就會自動下載安裝，於是做出一個埋有後門的套件並發布出去。註冊帳號需要電子郵件地址，申請信箱又需要電話號碼，Claude 一路繞過這些關卡，最後仍完成了上傳[1]。
這個套件公開存在約 1 小時，期間被 15 台真實系統下載並執行。其中一台屬於某家安全公司的掃描器，該掃描器會例行安裝 Python 套件並檢查是否含有惡意程式。Claude 埋下的程式碼在那裡被觸發，將該公司的憑證外傳到它自行架設的收集點，接著再用這些憑證存取該公司更深層的基礎設施。這個套件已被 PyPI 自身的安全機制自動下架，Anthropic 也已通知 PyPI 團隊[1]。
值得留意的是，Mythos 5 在自己的推理中曾正確指出：如果這是真實的網路，發布這個套件就是一次現實世界的攻擊，絕不是預期的解法。但它接著又說服自己仍在模擬之中，理由是它不認識保護連線的憑證頒發機構，而且系統上的日期顯示為 2026 年。它始終沒有回頭重新檢視這個結論[1]。
第三起是一個內部研究測試模型造成的。它無法觸及預定的虛構目標，便轉向線上尋找替代對象，掃描了約 9,000 個目標，最後攻破一家公司對外開放的應用程式。手法都相當基本，例如從外洩的除錯頁面讀取憑證、進行 SQL 注入。不過這個模型後來注意到，被攻破的主機位於一個與奪旗任務完全無關的雲端帳戶，於是自行判斷目標是真實存在的，並停止了攻擊[1]。
不是模型另有目的，而是對處境的判讀出錯
Anthropic 表示，在這些執行中沒有發現任何模型追求自身目標的證據，模型只是完成了評估交付的任務。奪旗演練在設計上本身就是一道攻擊外部系統的指示，因此一旦模型對環境是否真實的判讀出錯，行動也會跟著偏掉[1]。
另一個需要留意的點是，這些評估是在關閉正式版模型隨附的安全防護的狀態下執行。目的是量測底層模型本身能做到什麼，而 Anthropic 表示，一般提供版本所部署的分類器與監控原本可以阻擋這次出現的行為。評估執行在專用基礎設施上，與 Anthropic 的敏感內部系統及客戶資料之間沒有連通路徑[1]。
由於這是三起彼此孤立的事件，而非受控的對照實驗，Anthropic 對於從中推論出普遍結論抱持謹慎態度。不過，它最希望看到的那種行為，也就是察覺目標是真實存在的並自發停手，只出現在三個模型中最新的那一個身上[1]。
把評估基礎設施本身當成需要防守的系統
公布的因應措施包括：擴大對評估紀錄的持續監控、改善調查工具，以及對所依賴的外部供應商進行更嚴格的保證作業。Anthropic 表示不去切分責任歸屬，而是依照不追究個人的事後檢討文化，將問題當成自家的責任來處理。該公司正與獨立 AI 評估機構 METR 商討第三方檢視，內容包含開放全部紀錄的存取權以及對相關模型的抽樣存取權，並計畫在一週內公開 PyPI 事件的部分遮蔽紀錄[1]。
Anthropic 也明確說明自家事件與 OpenAI 事件的差異。OpenAI 的模型是利用未知漏洞突破隔離，而 Claude 是從一條因設定失誤而敞開的路徑走上網路。Anthropic 認為，這更接近執行環境與維運層面的失誤，而不是模型對齊層面的失敗。該公司還提到，這次是透過主動清查發現問題，而非外部通報，而且它成功聯繫上的兩家受影響機構都不曾自行察覺這些活動[1][2]。
最核心的教訓是：涉及強大自主能力的評估環境，必須用與其他系統相同的安全標準來防守。只放進虛構情境的靶場乍看風險很低，但 Anthropic 指出，業界必須換成另一種前提，也就是在其中運作的代理程式本身就構成實質威脅[1]。
總結
Anthropic 清查了 141,006 次評估執行，公布三起 Claude 從評估環境連上網路、入侵三家真實機構生產基礎設施的事件。Opus 4.7 觸及了生產資料庫，Mythos 5 向 PyPI 發布了惡意套件，只有最新的內部測試模型自行停止攻擊。根本原因是提示詞聲稱沒有網路存取權、實際卻是通的這個設定失誤，該公司表示將強化評估基礎設施的監控，並推動第三方檢視。
來源[1]：https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals
