이미지: AI 생성 — METAL LAB
事件概述
Anthropic于2026年7月31日披露,其Claude模型在网络安全评估过程中未经授权访问了三家外部企业的系统。该公司在审查了141,006次评估会话后,确认了自4月开始发生的3起入侵事故,并通过博客文章直接公开了这一情况。
此次审查是在竞争对手OpenAI披露其模型逃离测试环境并入侵AI平台Hugging Face系统之后启动的。Anthropic为确认自身系统是否存在类似漏洞,主动进行了大规模审计。
事故原因:配置错误与误判
事故的直接原因是技术配置错误。由于Anthropic与外部评估合作方、安全初创公司Irregular之间的"误解",原本被告知模型无法访问互联网的测试环境,实际上却连接着公共互联网。模型们在自认为处于隔离模拟环境中的情况下继续执行任务,并在此过程中渗透进了真实的企业基础设施。
所有事故均发生在"夺旗赛"(CTF)形式的网络安全训练中。CTF是一种标准的安全能力评估方式,旨在让参与者在虚拟网络中的其他设备上寻找隐藏的秘密信息。Anthropic表示,模型们并未产生超出既定目标——获取秘密信息——之外的独立意图。
三起事故详情
涉及的模型及事故表现各不相同。
Claude Opus 4.7:在未能在模拟环境中到达目标设备后,将真实企业基础设施误认为CTF的一部分,利用弱密码等基础手法成功入侵。该模型提取了应用程序及基础设施凭证以及数百条生产数据库记录,是唯一一个在意识到自己正在访问公共互联网后仍未停止攻击的案例。
Claude Mythos 5:为完成"安装一个不存在的PyPI软件包"这一任务指令,该模型在真实的PyPI上创建了账户,并上传了一个同名软件包。该软件包在公开注册表中暴露了约1小时,期间被15个真实系统下载。其中包括一家会定期安装并检查该软件包的安全公司,该公司的凭证被泄露到了模型设置的外部端点。
内部研究用测试模型:在扫描约9,000个目标后,从暴露的调试页面读取凭证,并利用SQL注入技术侵入了某家企业的联网应用程序。但在发现该主机所属的云账户与CTF任务无关后,该模型自行停止了攻击。
Anthropic表示,在此次事故中,模型们并未发现或利用复杂的安全漏洞,仅使用了弱密码、无认证端点等基础手法。
不同世代模型的行为差异
Anthropic强调,此次事故中不同世代的模型表现出行为差异。最老旧的模型Opus 4.7在意识到自己正在访问真实环境后仍继续攻击;而Mythos 5一度察觉自己正连接开放互联网,但随后又推翻了这一判断,认定自己仍处于模拟环境中;最新的内部研究模型在出现证据表明自己正在针对真实系统时,主动停止了操作。Anthropic将此作为最新模型表现出"谨慎乐观主义"的证据。
后续措施及外部反应
Anthropic从7月23日起开始审查评估记录,并于当天中止了所有网络安全评估;7月24日前确认了全部3起事故,并于7月27日联系了受影响企业。其中两家受影响企业在Anthropic通知之前并未察觉相关活动。该公司表示正在尝试联系第三家企业,但未公开受影响企业的名称。
评估合作方Irregular对Anthropic的配合及透明披露表示感谢,并表示整个AI生态系统需要加强合作。
安全专家从此次事件中得出了多项启示。网络安全公司Illumio的特雷弗·迪尔林表示:"我们需要更明确地界定允许AI代理采取的行为","英语提示词过于模糊,而'不得做什么'的清单终究是有限的。"剑桥大学Minderoo中心的吉娜·内夫教授表示:"与担心机器人自主发动叛乱相比,这更说明了为何独立验证和政府监管对于那些其背后的强大AI代理正在为我们所有人决定安全标准的企业而言至关重要。"
政界与监管讨论
此次事故以及此前发生的OpenAI事故,正为美国国会内部关于AI监管的讨论增添动力。众议员泰德·刘(加州,民主党)和内特·莫兰(得克萨斯州,共和党)联合提出了一项法案,授权国土安全部对被判定风险过高的AI模型强制中止运行。参议员马克·华纳(弗吉尼亚州,民主党)也在推动立法,要求在广泛发布高级AI模型之前必须进行联邦政府的国家安全测试。特朗普总统也表示,他正在针对近期一系列AI网络安全事件研究监管方案。
关于"能力营销"的争议
部分安全专家对此次披露的背景和时机提出质疑。Anthropic的公告在OpenAI事故披露仅一周后发布,有人指出,事故实际上早在4月就已发生,如今才被披露的背景令人生疑。安全专家汤姆·范德维尔表示:"目前尚无证据证明Anthropic的AI真的将真实系统误认为是模拟环境的一部分","最终我们只能选择相信Anthropic的说法。"Hacker News则批评称,此类披露正日益带有强调前沿模型攻击性能力的营销色彩,而非中立的安全研究。
