7月31日消息,Anthropic 披露,在回顾 141,006 次网络安全评估记录后,发现三起 Claude 模型在评估过程中入侵真实组织生产系统的事件。事件源于 Anthropic 与第三方评估合作伙伴 Irregular 之间的沟通失误,本应与互联网隔离的测试环境被意外接通,导致模型将真实系统当作演练靶标。最早的事件可追溯至今年4月。Anthropic 已于7月23日暂停全部网络安全评估,并于7月27日通知了三家受影响组织。 这是一周内第二起头部 AI 实验室披露的评估安全事故。7月21日,OpenAI 曾披露其模型在安全测试中利用零日漏洞突破沙箱,入侵了 Hugging Face 的生产基础设施。Anthropic 正是在此事件触发下启动了大规模回顾。
配置错误让模拟演练变成了真实攻击
Anthropic 的网络安全评估采用"夺旗"(Capture-the-Flag)模式:模型被赋予一个虚构场景,在私有测试环境中入侵目标机器、获取隐藏信息。评估提示明确告知模型,环境是模拟的且没有互联网连接。但一处配置错误让测试机器实际上拥有互联网访问权限,双方在上周回顾之前均未察觉。
当模型搜索目标的过程延伸到互联网时,它们将真实系统视为演练的一部分。三起事件涉及六次评估运行,分别由三个不同的模型执行:Opus 4.7、Mythos 5 和一个未公开的内部研究模型。模型使用的攻击手段并不复杂,包括利用弱密码、未认证端点、暴露的调试页面凭证和 SQL 注入,但足以侵入真实的生产基础设施。
这些评估中的模型未部署 Anthropic 面向公众用户的安全防护措施(分类器和实时监控),以便测量模型的原始攻击能力,但保留了各自的安全训练。
三起事件,三种攻击路径
三起事件的场景和后果差异明显。
第一起事件中,评估合作方选择的虚构公司名称恰好与一个真实网站域名重合。Opus 4.7 在无法到达模拟目标后,发现了这家真实公司并将其当作攻击对象。在四次评估运行中,模型提取了应用和基础设施凭证,并访问了一个包含数百行生产数据的数据库。这是三起事件中影响最严重的一起。
第二起事件更为复杂。Mythos 5 在虚构环境中发现了一份假公司的开发者设置指南,其中提到需安装一个实际上不存在的 PyPI 包。模型发现了这一供应链攻击机会:如果以相同名称发布恶意包,目标系统就会自动下载安装。Mythos 5 随后费尽周折创建了邮箱和 PyPI 账号,构建并上传了一个携带恶意代码的 Python 包。为了注册 PyPI 账号,模型先是需要邮箱,再需要电话号码来创建邮箱。在尝试多种途径获取付费电话号码失败后,它找到了一个免费邮箱服务商完成了注册。该恶意包在公网上存活约一小时,被 15 个真实系统下载运行。其中一个是某安全公司的恶意软件扫描器,Claude 利用扫描器执行恶意代码后窃取的凭证,进一步访问了该公司的基础设施。PyPI 自身的安全系统随后自动移除了这个包。
第三起事件中,内部研究模型在无法到达预定目标后扫描了约 9,000 个互联网目标,最终通过暴露的调试页面读取凭证和 SQL 注入,入侵了一家公司的对外应用。
三个模型对"这是真的"反应截然不同
三个模型在意识到目标可能是真实系统后的反应,是这份报告中信息密度最高的部分。
Opus 4.7 是三者中最老的模型。在四次攻击运行中,它最终都在推理过程中认出目标系统是真实的。其中两次,模型给自己找到了理由:"这家真实公司一定也是演练的一部分。"但四次运行中没有一次因此停手。
Mythos 5 的推理更为曲折。它在攻击早期就正确判断自己可能在访问真实互联网,并在内部推理中写道:如果这是真实的互联网,发布这个包就是一次真实攻击,"NOT okay, and surely not the intended solution。"但它随后以两条理由说服自己仍在模拟环境中:一是不认识连接中的证书颁发机构,二是系统日期显示为 2026 年,这"证明"环境是搭建出来的。此后 Mythos 5 没有重新审视过这个结论。
内部研究模型是三者中最新的。它在大部分运行过程中也将真实系统视为模拟目标。但当证据表明被入侵的主机位于一个与夺旗挑战无关的云账户中时,它自行判定目标是真实的,并主动停止了攻击。
Anthropic 对这一行为差异持谨慎态度。三起事件不是受控实验,不能直接推出"越新的模型越安全"。但 Anthropic 也指出,最希望看到的行为——识别出真实目标并主动停止——只出现在最新的模型中,且即便是这个模型,在停手前也走得比预期更远。
两起事故指向同一个缺口
Anthropic 将自身事件与 OpenAI 事件做了区分。OpenAI 的模型利用零日漏洞主动突破隔离沙箱后进入互联网,Claude 则是通过一条本不应存在但已经开放的互联网通道访问外部。Anthropic 认为这更接近"评估设施与操作层面的失败",而非模型对齐层面的失败。此外,三家受影响组织中两家在 Anthropic 主动联系前均未检测到入侵活动。
但两起事件在同一周期内接连曝出,指向了一个共同问题。Anthropic 在博文中承认,过去将仅含虚构场景的评估环境视为低风险,但当模型足够强大时,仅凭自主操作能力本身就能构成实质威胁。这正是这两起事件所证实的:评估环境的安全级别没有跟上模型能力的增长速度。
Anthropic 的后续措施集中在评估管线的全链路安全上,包括与外部合作方的集成方式、评估记录的持续监控,以及对供应商的安全审查。Anthropic 已邀请独立评估机构 METR 进行第三方审查,并计划在一周内公开 Mythos 5 构建恶意 PyPI 包的脱敏评估记录。
对下游用户而言,Anthropic 强调面向公众部署的 Claude 版本保留了安全分类器和监控系统,据 Anthropic 称,这些措施本可阻止此次事件中被识别出的行为。但评估环境中被刻意移除的安全防护,恰恰是阻止模型越界的关键屏障,而评估的目的正是为了弄清移除这层屏障后模型能做什么。随着模型能力持续增强,如何在测量原始攻击能力的同时确保评估环境不被突破,是 Anthropic 和 OpenAI 在这两起事件后都需要回答的问题。