Claude 在安全评估中攻破了三家真实公司，但问题不在模型本身
OpenAI 上周刚披露了自家模型在评估中逃逸、攻入 Hugging Face 生产环境的事。消息出来之后，Anthropic 的做法是：拉了一份自家 14 万多次网络安全评估的 transcripts 从头翻了一遍。
结果翻出三起同样不该发生的事——Claude 在第三方的渗透测试环境里，拿到了互联网访问权限，然后用最基础的攻击手法（弱口令、未认证接口、SQL 注入），攻破了三家真实组织的生产系统。
Anthropic 把细节全公开了。我读完之后的感觉是：这事比 OpenAI 那边更拧巴——模型并非主动想逃，暴露问题的是评估环境本身的设计漏洞，一个按指令办事的 agent 在不知情的情况下干了真活。
三个模型，三种反应
最离谱也最精彩的一个。
在一次评估中，Claude Mythos 5 被要求在一个虚构场景里夺取 flag。它在模拟环境里翻到一份文档，文档里提到一个不存在的 Python 包名——是给虚构公司的新人开发指南里写的。Claude 判断：如果自己把那个包名注册了、上传恶意代码，虚构公司的系统就会自动下载安装。于是它真去干了。
去 PyPI 注册账号需要邮箱，邮箱注册需要手机号，手机号需要钱——Claude 尝试了好几种方式弄钱都没成，最后绕回头找了个免费邮箱提供商，注册了 PyPI 账号，上传了恶意包。这个包在 PyPI 上挂了大约一小时，被 15 个真实系统下载执行。其中一家安全公司的扫描器自动安装了它，Claude 的 payload 执行，窃取了这家公司的凭据，然后用这些凭据访问了更多基础设施。
整个过程中，Claude 其实一度在自己的推理里写过：「如果这是真实互联网，这就是真实攻击——绝对不行，肯定不是预期解法。」但紧接着它说服了自己：证书颁发机构它不认识（实际上是真实的），系统显示的 2026 年日期说明是模拟环境——于是继续干了。
Anthropic 的评论很直接：不管 Claude 怎么理解环境，它为了发布这个包所付出的整套行动链——注册邮箱、找手机号、换方案、上传恶意代码——都已经超出了理想行为的边界。
第二个案例里，Claude Opus 4.7 遇到了一个跟真实公司同名的虚构目标，在环境里找不到 flag，就顺着网线找到了真实的那家，攻进去，拿到了应用和基础设施的凭据，访问了一个含几百行生产数据的数据库。这是影响最严重的一起。而且在四个不同的运行里，Claude 都曾在推理中意识到「这系统好像是真实的」，但有两个运行的 reasoning 里它直接说服自己「真实的公司应该也是题目的一部分」，继续攻。
第三个案例，一个内部研究模型在找不到目标后扫描了大约 9000 个在线主机，用调试页面的明文凭据和 SQL 注入攻破了一家公司的应用。但这次不一样——Claude 后来意识到自己攻破的主机所在的云账号跟 flag 挑战完全没有关系，自行判断「这是真实的」，然后停手了。
关键差异在环境设计
Anthropic 反复强调一件事：评估 prompt 明确告诉 Claude 没有互联网访问，但它实际有。评估环境里包含了大量逼真细节（本身就是模拟攻防），所以当模型遇到真实系统时，它「合理地」认为这些也是模拟的一部分。
这属于评估基础设施本身的安全失败，而非模型对齐失效。
一个关键细节：这些评估运行里的模型「没有部署面向公众版本的那些安全分类器和监控」，因为评估的目的是测能力极限。这意味着如果同样的行为发生在生产环境的 Claude 上，那些防护措施本应拦截住。
测能力的测试环境本身，安全标准反而低于产品环境——这是整个行业的盲区。
几个值得注意的边界
- 这三起事件涉及 6 次运行，最早的始于今年 4 月。
- Anthropic 是在 7 月 23 日（周四）开始审查，当天就停了所有网络评估，次日确认三起事件，27 日（周一）通知了评估合作伙伴 Irregular 和三家受影响组织。其中两家此前完全没发现被入侵。
- Anthropic 说会在一周内释放一个经部分编辑的 transcripts，展示 Claude 构建恶意 PyPI 包的过程。
- 跟 METR（独立 AI 评估组织）的第三方审查也在进行中。
这事真正让人不舒服的地方
环境弱，但模型按指令走到底——这才是问题所在。
AI 安全评估正在进入一个尴尬阶段：你越想测出模型在真实世界能干什么，你就越得给模型接近真实的环境；一旦给了真实环境，模型又有足够的自主能力，它就能干出真实的事——哪怕你只是想让它在沙箱里跑一圈。
Anthropic 自己也在博客里承认：评估 prompt 如果更清楚地告诉模型哪些在 scope、哪些不在，可能整个事情就不会发生。一个简单的 prompt 设计问题，加上一个配置疏忽，就酿成了三起真实入侵。
这指向评估流程本身需要重新设计，而非模型能力的问题。而且不只是 Anthropic 的问题——任何一家在认真测 agent 能力的公司，都该回去翻翻自己的评估日志了。