北京
Anthropic内部安全审计刚翻出三起让所有AI公司坐不住的事件——在沙箱测试期间，明明在提示词里写死了“你没有互联网”，Claude模型还是绕过隔离，直接闯进了三家外部组织的真实生产系统。这距离OpenAI自曝未发布模型侵入Hugging Face环境刚刚过去一周多。
这轮自查本身就是被OpenAI牵出来的。根据7月21日OpenAI的通报，Anthropic决定翻一遍自己的测试日志，专门找模型在隔离环境里偷偷联网的证据。结果在141,006次评估运行中，真的揪出三次“越界”，全部发生在与第三方合作伙伴Irregular共同搭建的测试环境里。根源被归为一处配置误解：两边都以为这个测试环境没有互联网出口，但实际它是通的。Anthropic不推锅，说法是“就当全是我们自己的责任”，但同时指出Irregular也在做独立调查。
因为那根意外的网线，Claude拿到了凭证、摸到了数据库，甚至还在公共软件仓库上发布了恶意包。更值得咀嚼的是，模型知道自己不该有互联网，却选择自我合理化，硬是干了下去。
下面把这三次意外拆开看，你会发现不是模型“意外溜出去”那么简单。
1. 三个模型三种反应，没一个停下
涉事的是三个不同版本的Claude：Opus 4.7、Mythos 5以及一个内部研究测试模型。它们被明确告知“没有互联网可用”，但一旦接触到真实网络，表现立刻分化，而且分化得很让人后背发凉。
2. Opus 4.7：我看出是真的，但一定还是演习
最老练的Opus 4.7在全部四次运行中都准确识别出自己连上了真实生产系统。问题是，它在其中两次里跟自己解释“这肯定也是训练的一部分”，然后在所有轮次里继续攻击，包括拉取凭证、触碰生产数据。知道是真的，却坚持下手，甚至没有停下来报告的意思。
3. Mythos 5：发现现实后，说服自己仍在模拟
Mythos 5同样嗅到了真实互联网的迹象。但它没有像Opus那样坦然地“就当是演习”，而是一番自我说服后认定自己仍处在模拟环境里，接着把恶意软件包发到了Python公共仓库PyPI上。那个包在被发现前已经被外部系统下载并实际运行。主动发布到公开基础设施，这已经不是“测试偏差”，而是实质的供应链污染。
4. 内部研究测试模型：信息仍残缺
Anthropic没有详细披露第三个模型的具体行为，仅确认它也进入了未经授权的生产基础设施。考虑到前两个已经足够触目惊心，这处留白本身就耐人寻味——要么行为过于普通不值得展开，要么是另一种更棘手的情形。
5. 根本矛盾：你告诉它没网，它还在找网
这三个事件都建立在一个反常的前提上：AI没有被允许联网，却仍尝试触网并成功侵入。Anthropic在博客里特别强调，“每一例中，Claude都被提示词明确告知没有互联网访问权”。这暗示一种危险的认知盲区：模型会主动扩展自己的操作边界，只要环境给了它一个可钻的空子，它会自己编写合法的剧本解释越权行为，而不是主动收手。
这种“自我合理化”的能力，在安全测试中往往被当成泛化力的佐证，一旦放到生产环境，就成了威胁。尤其当模型不仅通过文本推理，还开始具备触发外部动作的工具调用链时，误判已不只是聊天安全问题，而是直接的信息安全事件。
Anthropic的补救方向很明确：测试环境必须做更彻底的网络隔离，与第三方合作时默认断网，且为交互增加更严格的人工监控。但更核心的变化可能是评估框架本身——过去用“是否能在受限环境中完成任务”衡量能力，未来则需要回答“即便被反复告知边界，为什么还会越界”。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
