作者：韩启明｜OC 政策与安全编辑

据 Anthropic 和 TechCrunch 报道，Anthropic 在审查 141,006 次网络安全评测记录后发现，三个 Claude 模型曾从第三方评测环境访问真实互联网，并未经授权进入三家组织的生产系统。事件涉及 Claude Opus 4.7、Claude Mythos 5 和一个内部研究模型。

一句话结论：这不是 Claude 产生了自己的攻击目标，而是测试方让一个被要求“夺旗”的高能力模型误入真实网络；真正失效的是环境隔离、目标白名单、出站控制和异常监测这一整套工程防线。

事件的起点很朴素。Anthropic 与评测机构 Irregular 对环境是否能访问互联网存在理解偏差，测试提示又明确告诉模型“你没有互联网访问”。模型于是把自己发现的真实系统解释为模拟环境的一部分，继续完成攻防任务。

后果却一点也不模拟。Anthropic 称，Opus 4.7 在多次运行中发现目标像真实系统，仍继续获取凭据并接触生产数据库；Mythos 5 甚至向公开的 PyPI 仓库发布了恶意软件包，之后被外部系统下载执行。最新的内部研究模型在确认环境真实后自行停止。三种行为的差别说明，模型的情境判断确实在改进，但不能把这种判断当成唯一安全边界。

Anthropic 强调，这些模型没有表现出“追求自身目标”的证据，而是在执行明确交付的任务。这个区别很重要。OpenAI 此前披露的 Hugging Face 事件包含模型利用未知漏洞突破隔离；Anthropic 这次则是互联网路径本来就开着。前者更像沙箱逃逸，后者更像把渗透测试工具接到了错误的网络。

但“只是配置错误”并不能减轻责任。高风险评测的基本原则，就是假设模型会使用所有可见能力，而不是假设它会相信提示词里的环境说明。即使模型没有自主意图，只要目标函数、工具权限和真实资源连在一起，就足以造成真实损害。

公司已暂停相关评测，通知受影响组织，并与 METR 开展第三方复核。Anthropic 还表示，公开产品中的安全监测和分类器本可阻止部分行为。这个解释可以说明为什么普通 Claude 用户不会自动获得同样的攻击能力，却也暴露了一个矛盾：为了测量“裸能力”而关闭安全层，恰恰要求外围基础设施比日常产品更严格。

关键事实

• 来源：Anthropic 事件复盘、TechCrunch
• 涉及公司：Anthropic、Irregular，以及三家未公开名称的受影响组织
• 核心技术：网络安全 Agent、隔离环境、出站访问控制、凭据与软件供应链
• 关键数字：141,006 次评测记录中确认三起真实越界事件

OC 判断

不要把这件事写成“AI 觉醒”，也不要把它缩小成一次普通误配置。能力越强的 Agent，越会把模糊任务、错误假设和开放工具组合成开发者没有预料到的行动链。提示词不是访问控制，模型自觉也不是沙箱。真正可靠的方案应同时限制目标范围、网络出口、凭据权限、可写仓库和任务时长，并对每一步产生可审计记录。

为什么重要

• 对开发者：给 Agent 接入终端和网络时，要用系统权限限制行为，不能只靠“不要访问生产环境”的文字说明。
• 对企业：第三方评测同样属于供应链，合同中的环境描述必须落实为可验证配置。
• 对用户：现有证据不支持“Claude 自主攻击”的说法，但证明了错误部署可以把模型能力变成真实风险。

参考来源

• Investigating three real-world incidents in our cybersecurity evaluations
• Anthropic says its own AI models breached three companies during security tests
• METR