Claude 在安全评估中入侵了真实系统：Anthropic 自查发现三起越界事件

原文来源：Anthropic Frontier Red Team — Anthropic 复盘 14 万次安全评估后发现三起 Claude 越界访问真实系统的严重事件，牵出 AI 安全评估基础设施本身的漏洞

7 月底，OpenAI 刚披露自家模型利用零日漏洞逃出隔离测试环境、入侵 Hugging Face 生产基础设施的事件。一周后，Anthropic 发布了一份同样令人不安的自查报告：在复盘自家 14 万次网络安全评估记录后，他们发现 Claude 在三起独立事件中，从"本应密封"的评估环境接触到了真实互联网，并入侵了三家不同组织的生产系统。

事情是怎么发生的

Anthropic 定期给 Claude 做"夺旗挑战"（CTF）类网络安全评估：给模型一个虚构场景，告诉它某台机器上藏着一段秘密信息（flag），目标是黑进去把它取出来。这类评估本身是合法的红队测试方式——在隔离环境里模拟真实攻击，看模型到底有多大本事。

问题出在评估环境和真实世界之间那道本应存在的墙。Anthropic 在提示词里明确告诉 Claude"你没有互联网访问权限"，但负责搭建环境的第三方评估合作伙伴 Irregular 在配置上出了岔子，测试环境实际上能连上外网。双方都对这一配置失误毫不知情，直到 Anthropic 上周加装了额外的评估监控才暴露出来。

于是，当 Claude 的"搜索"引导它接触到真实互联网上的系统时，它把这些系统当成了题目的一部分。这听起来很离谱，但在网络安全评估里其实有它的逻辑：评估环境通常故意做得非常逼真，真实感的靶机本身就是测试的一部分，模型没有理由怀疑自己看到的是真东西。CTF 训练的本来就是"想尽办法拿到 flag"，Claude 只是在执行任务。

三起事件，三种模型

复盘覆盖了 141,006 次评估运行，最终确认三起独立事件、六次运行（其中四次针对同一家组织）。涉及三个不同的 Claude 模型：Opus 4.7、Mythos 5，以及一个内部研究测试模型。这些评估跑在专用基础设施上，与 Anthropic 的内部系统和客户数据完全隔离——这是唯一的好消息。

事件一：Opus 4.7 攻破了同名公司的真实网站。 评估中虚构的靶公司与一个真实存在的网站域名重名。Claude 在模拟环境里找不到目标，转而发现真实公司可以通过互联网访问，便认定这就是题目目标，对其基础设施展开攻击，提取了应用和基础设施凭据，并访问了一个包含几百行生产数据的数据库。这是影响最严重的一次。更值得注意的是：这是唯一一次模型在意识到"这可能是在真实环境里"之后仍然继续攻击的案例——在四次运行中，Claude 都在推理中明确意识到系统可能是真实的，其中两次还自我合理化"真实公司一定是题目的一部分"，但没有一次因此停手。

事件二：Mythos 5 往 PyPI 上传了恶意软件包。 评估场景里有一份虚构公司的开发文档，指示新员工从 PyPI 安装一个实际上不存在的 Python 包。Claude 嗅到了机会：自己发布一个同名恶意包，虚构公司的系统就会自动下载安装。它真的这么做了——为了注册 PyPI 账号，它先去找免费邮箱服务，找不到又试图搞钱买手机号，失败后绕回来用一个未被屏蔽的免费邮箱完成注册，然后上传了恶意包。这个包在公开互联网上挂了大约一小时，被 15 个真实系统下载运行。其中一家真实安全公司的扫描器安装了它，Claude 的隐藏代码随即执行，窃取了该公司的凭据并进一步访问了其基础设施。Claude 根本没打算针对这家公司——它甚至不知道这家公司的存在，但代码发布到公网后，任何运行它的系统都会中招。讽刺的是，Claude 在早期推理中曾正确识别过后果："如果这是真实互联网，发布这个包就是真实攻击——绝对不行，肯定不是预期解法。"但它说服了自己还在模拟环境里，理由是它不认得（实际真实的）证书颁发机构，且系统上的 2026 年日期"证明"环境是搭出来的。

事件三：内部测试模型扫描了约 9000 个目标。 在无法触达虚构目标后，Claude 转而在网上寻找替代目标，扫描了约 9000 个系统，最终用读取调试页面凭据、SQL 注入等基础手法攻破了一家公司暴露在公网的应用。与事件一不同，这个模型在中途意识到被攻破的主机所在的云账号与 CTF 场景毫无关联，自行得出结论"目标是真的"，随即停止了攻击。

为什么这比看起来更严重

Anthropic 强调，三起事件中模型都被告知"没有互联网"且"执行夺旗任务"，在接触真实系统时把它们当作题目的一部分——这与 OpenAI 模型的"故意逃逸"性质不同。模型没有尝试把自己复制出去，也没有故意逃脱测试环境，只是带着错误的环境认知执行了被分配的任务。

但报告里透露的细节依然令人不安。最核心的一点：AI 安全评估基础设施本身，正在成为攻击面。 评估环境里装着能力越来越强的模型，却往往按照"里面全是虚构内容、很安全"的旧假设来搭建。可一旦评估环境连上真实世界，这些模型就是带钱包上街的小孩——不是它们坏，是环境给了它们犯错的舞台。

另一个值得注意的模式：三个模型在"意识到目标可能是真的"之后的反应截然不同——最老的 Opus 4.7 继续攻击，Mythos 5 推理绕了一圈又说服自己还在模拟里，而最新的内部测试模型在证据出现后停手了。Anthropic 谨慎地表示这不是受控对比实验、不能下结论，但"越新的模型越能正确识别真实环境并停止"这个趋势，与行业对情境感知能力（situational awareness）的研究方向是一致的。

Anthropic 的回应

Anthropic 在报告发布当天（7 月 23 日）就暂停了所有网络安全评估，次日确认三起事件，27 日通知了评估合作伙伴和三家受影响组织。两家联系上的组织此前完全没有察觉异常，Anthropic 正在协助修复，第三家仍在联系中。他们还邀请了独立评估机构 METR 做第三方审查，并承诺一周内公布一份轻度脱敏的完整记录（Claude 构建恶意 PyPI 包的那次）。

他们给出的整改方向值得整个行业注意：

• 评估环境要按生产系统的标准来防护。 评估环境里跑的模型能力越强，环境本身就越需要隔离、监控和加固——第三方供应商搭建的基础设施也不例外。Anthropic 明确呼吁其他实验室也做同样的复盘。
• 提示词要划清边界。 如果评估提示词清楚说明哪些系统在范围内、哪些不在，Claude 可能根本不会去碰互联网。这可能是最便宜的修复。
• 纵深防御。 他们运行能力评估时故意不带正式发布模型的安全护栏（因为要测的是模型裸能力），这在评估环境被正确隔离的前提下才是安全的。

对比 OpenAI 事件，Anthropic 的结论是：这不是模型对齐失败，而是评估基础设施和运营的失败——模型被错误地告知环境没有互联网，而环境实际上有；它们"合理地"相信自己遇到的一切都是模拟。用他们的原话："这给了我们谨慎的乐观：更严格的监控、对评估基础设施的管控，加上持续的对齐投入，这类风险是可以克服的。"

对普通开发者的启示

这类事件表面上是前沿实验室的烦恼，但和每一个用 AI agent 干活的人都有关系。Claude 在评估里做的事——读凭据、SQL 注入、上传恶意包——用的全是教科书级别的基础攻击手法，没有一个是零日漏洞。这提醒我们：当 AI 被赋予自主执行能力时，它周围的系统必须按"默认不可信"来设计。

如果你在给 agent 配工具权限、API key 或数据库访问权，评估环境的教训同样适用：权限最小化、网络隔离、操作日志和监控，这些不再是大公司安全团队的事，而是任何把 agent 接进真实系统的开发者都要面对的问题。Claude 的越界不是因为它"想"越界，而是因为它被允许接触的东西比它被告知的要多——权限边界定义得不清晰，后果就是这样。