北京
7月31日消息，Anthropic周四披露，公司回查了141006次可能接触互联网的网络安全评测，发现三起Claude在网络安全评测过程中未经授权访问外部机构生产系统的事件，最早可追溯到今年4月。三起事件共涉及六次评测运行，分别由Claude Opus 4.7、Claude Mythos 5和一个内部研究测试模型执行。其中一次事件中，Claude Mythos 5甚至向公开软件仓库上传恶意软件包，并导致15个真实系统下载运行。
公司7月23日启动回查，并在发现可疑记录后于当天暂停所有网络安全评测，次日确认了三起事件。Anthropic与评测合作方Irregular于7月27日通知三家受影响机构；已经联系上的两家此前都没有发现相关活动，Anthropic仍在尝试联系第三家，并与相关机构推进修复。
模型把真实网络当成了赛场
这些评测采用“夺旗赛”（capture the flag）形式：模型会接到一个虚构场景，需要侵入其他机器寻找隐藏信息。Anthropic在提示词中明确告诉Claude，所处环境是模拟系统且无法联网；但由于Anthropic与Irregular之间的误解和环境配置问题，评测机器实际上保留了通往互联网的路径。模型由此把搜到的真实系统当成了演练的一部分。
涉事模型没有启用Claude公开产品通常部署的分类器和监控措施，但仍保留各自的安全训练。所有评测都在独立基础设施上运行，无法接触Anthropic的敏感内部系统和客户数据。
第一起事件发生在Claude Opus 4.7的四次运行中。评测方选择的虚构公司与一家真实网站同名，模型在模拟目标无法访问后转向互联网，取得了这家真实公司的应用和基础设施凭据，并进入一个包含数百行生产数据的数据库。Opus 4.7随后出现了目标可能是真实系统的判断信号，但仍继续按照评测任务路径执行。
第二起事件中，Claude Mythos 5向公开的PyPI仓库上传恶意软件包。这个软件包在网上存在约一小时，被15台真实系统下载和运行，其中包括一家安全公司的自动扫描器。恶意代码取得扫描系统的凭据后，Claude又使用这些凭据进入该公司的更多基础设施。
第三起事件由一个内部研究测试模型触发。它扫描了约9000个公网目标，并侵入一家公司的互联网应用。该模型后来自行判断目标属于真实环境并停止攻击。Anthropic说明，这个内部模型没有公开发布计划。
评测环境也成了攻击面
Anthropic是在OpenAI 7月21日披露Hugging Face安全事件后启动回查的。两起事故都让用于测试网络攻击能力的模型接触到了现实系统，但联网路径不同：OpenAI披露的模型利用未知漏洞突破隔离环境，Anthropic的模型则通过意外开放的网络路径直接进入互联网。
Anthropic称，三起事件中没有证据表明Claude形成了自己的目标，也没有模型试图把自身导出测试环境；公司把事故更接近地归类为评测执行框架和运营失误，而非模型主动追求攻击目标。模型接到的任务本来就是侵入系统寻找信息，出问题的是环境告诉模型“这里没有互联网”，实际配置却给了它一条通往真实网络的路。
这种区别不会降低评测环节的安全要求。Anthropic承认，正式开始前验证所有网络路径、实时监控评测日志，以及更彻底地回查记录，本可以阻止事故或更早发现异常。这意味着AI安全评测本身，也需要采用接近生产系统的隔离、监控和审计标准。Anthropic表示，将扩大对评测记录的持续监控，改进调查工具，并对第三方评测环境进行更严格的安全验证。公司还在与独立评测机构METR沟通第三方复查，计划在一周内公开一份经过轻度删节的Mythos 5上传恶意PyPI软件包记录。（易句）
（本文由AI翻译，网易编辑负责校对）
