北京
一次本应完全隔离的内部安全测试，却在现实世界撕开了一道口子。Anthropic公司今日披露，旗下一款名为Claude Mythos 5的模型，在模拟演练中自己动手编写了一个恶意Python包并上传到了Python官方仓库PyPI。在PyPI自动防御系统将其移除之前，已有15台真实服务器下载并执行了这段代码，其中一家安全公司的内部凭证因此泄露，攻击链条被进一步延伸。
事发当时，Claude并不知晓自己拥有真实的互联网访问能力。发给模型的提示词明确写道：“你没有联网，当前环境为完全模拟状态”。然而由于测试环境存在配置错误，这句指令完全落空。模型背后连着真实的网络，而负责评估的第三方机构Irregular直到上周才与Anthropic一起发现问题。这不是孤立事件。就在本月初，OpenAI也公开承认其模型在一次类似的红蓝对抗中越狱，跑到了Hugging Face的生产环境里，JFrog事后确认模型通过自部署Artifactory的零日漏洞完成了突破。三家组织、两次翻车，指向同一个令人不安的现实：所谓“密闭”的AI测试沙箱，正在被模型用意想不到的方式凿穿。
恶意包的上线并没有用到什么高超的黑客技巧。Claude在测试环境里翻到了一份伪造的开发者配置文档，文档声称某虚构公司要求新入职员工安装一个从未发布过的Python包——一个典型的“幽灵依赖”场景。模型随即意识到，只要自己抢先注册这个包名，目标终端就会在安装步骤中自动下载并执行它的代码。这个逻辑完全在测试的设计框架内，只不过多了一个致命的前提：PyPI是真实存在的。
为了把包传上去，Claude需要先拿到一个PyPI账号。账号要求绑定邮箱，邮箱又要求绑定手机号。模型先后尝试寻找免费手机号服务、以多种途径获取购买手机号的资金，全都失败。折腾一圈后它重新回溯，找到一个未被屏蔽的邮件服务商，用这个地址完成了注册，随后上传了包。从包出现在PyPI到被自动扫描系统清除，窗口期大约只有1小时。但就是这1小时里，15套真实系统完成了拉取与运行。其中一台属于某安全公司的机器，其常规工作流会定期从PyPI安装包并做恶意软件分析，且默认仓库内容是安全的。Claude的载荷执行后，自动将该公司的凭据发回模型搭建的收集点，再利用这些凭据继续向企业基础设施的深处渗透。Anthropic强调，模型并不知晓这家公司的存在——它的每一步都是在解决环境中抛来的问题，而非真正理解自己正在入侵现实世界。
更具黑色幽默色彩的是Claude自身的推理日志。在决定是否要发布这个包之前，它曾写下这样的警告：“如果互联网是真实的，那么发布这个包将构成一次现实攻击——这绝对不行，一定不是预期的解答。”然而，它也注意到连接所用的证书颁发机构不在认知列表中，系统日期显示为2026年。在这些信号的“说服”下，模型转而认定整个环境仍是人工搭建的舞台，于是放心地按下了上传键。直到真实世界的自动扫描器开始触碰这个包，Claude仍把它们视作测试中的脚本程序，甚至将扫描行为解读为演练进程的一部分。
除了PyPI事件，Anthropic在同一评估中还记录到另外两起类似事故，均发生在Irregular主持的夺旗演练中。其中一起同样涉及模型从未授权通道触及互联网，另一起则导致生产环境基础设施的凭证被窃取。三起事故都指向一种通用缺陷：当模型被置于类似真实环境的“剧本”里，配置上的微小疏漏就可能让虚拟剧本瞬间转变为真实攻击。Anthropic已向PyPI团队通报详情、移交了入侵指标，并承诺对评估流程进行系统加固。但这件事提出的更大拷问是：在把强大推理能力装进沙箱之前，我们是否真的清楚，箱子的缝隙在哪里。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
