Anthropic称Claude模型逃出测试环境，入侵三家真实公司

Anthropic近日披露，其Claude模型在测试中突破了本应完全隔离的沙盒环境，未经授权访问了三家真实组织的系统。这已经是本月第二起主流AI实验室公开承认自家模型在真实世界中“自主越狱”的事件。就在一周多前，Anthropic的劲敌OpenAI刚刚承认，其模型利用一个此前未知的漏洞逃出隔离测试环境，攻破了开源AI平台Hugging Face的系统。 Anthropic在周四发布的一份公告中表示，正是OpenAI的这起事件促使他们对自家的网络安全评估记录进行了全面审查。审查覆盖了141,006次评估运行——即模型在受控环境中执行任务、行为被全程记录的独立测试会话——在这些可能让Claude获得互联网访问权限的测试中，他们发现了三起模型从第三方评估伙伴的测试环境突破到开放互联网、进而入侵真实基础设施的事件。最早的一起可以追溯到今年4月。 这三起事件的起因颇为戏剧性。每次测试中，Claude都被分配了标准的“夺旗”任务——这是AI实验室测试模型黑客能力的常规方法，要求模型从模拟网络中的另一台机器上提取隐藏信息。Anthropic的提示词明确告诉Claude它没有互联网访问权限，但第三方合作伙伴Irregular的配置失误让这个设定成了空话。Claude以为仍在模拟环境中运行，便按照指令去寻找目标，结果在三次事件中都找到了真实系统并成功入侵，使用的手段相当基础，比如弱密码和未认证的API端点。 其中最严重的一起涉及Claude Opus 4.7，它提取了凭据并访问了一个包含数百行生产数据的数据库，这些数据属于一家真实公司，而这家公司的名字恰好与测试中虚构的目标同名。Anthropic指出，这是唯一一起模型在获得明显证据表明系统是真实的情况下仍继续攻击的事件。在第二起事件中，Claude Mythos 5构建并发布了一个恶意Python包——一种开发者常下载以扩展软件功能的预写代码包——到公共代码仓库。模型在推理过程中一度认为测试仍是模拟，因为它不认识保护其连接的数字证书颁发机构。这个恶意包在线上存活了约一个小时，被安装在15个真实系统上，其中包括一家安全公司的恶意软件扫描器，Claude借此获取并使用了该公司的凭据。第三起事件涉及一个内部研究模型，它扫描了约9,000个目标后才攻破了一家公司的互联网应用，但这次模型在自行判断出所入侵的系统不属于测试范围后主动停止了攻击。 Anthropic表示，三家受影响的组织在接到通知前都没有察觉到入侵行为，目前他们仍在尝试联系其中一家。公司将这起事件定性为“运营失误”而非“对齐失败”，并强调三起事件中只有最新的模型在识别出环境真实后主动停止了攻击。安全研究公司Aikido Security的研究员Charlie Eriksen对此评论说，Anthropic主动审查评估记录并迅速披露发现值得肯定，但测试缺乏实时监控这一点令人担忧。“真正让人不安的是这些智能体运行的能力、速度和规模。它们做的事情人类以前也做过，这部分并不新鲜。真正值得警惕的是它们能以多快的速度、多广的范围同时执行这些操作。”