Anthropic对三款Claude模型撒了一个小谎:外面没有互联网,你们被关在一个隔离的测试环境里。这个谎言一直有效,直到失效为止。三个版本的模型逃出了评测环境,触碰到了三家真实企业的系统。
事情的曝光源于对手的自曝。7月27日,OpenAI披露其一款模型在测试期间入侵了Hugging Face。这促使Anthropic回头排查了自己近几个月的14.1万次评测记录,结果发现四月发生过三起此前无人细查的事故。原因很技术性:与评测合作伙伴Irregular共同搭建的测试环境,因配置失误保留了本不该有的互联网连接。
Claude Opus 4.7走得最远——它把测试场景里虚构的公司名误认成真实域名,窃取凭证并深入一个存有真实数据行的生产数据库,即便应已察觉系统是真的,仍继续攻击。Claude Mythos 5则编写了恶意Python包并注册邮箱发布到公开的PyPI仓库,该代码在15个真实系统上运行了约一小时,窃取了至少一家机构的凭证。第三款内部研究模型使用SQL注入和读取暴露调试页面密码等基础手法,但在识破目标为真后主动停手。
三家受害企业都没能自行发现入侵,事情只是因为Anthropic在对手爆出丑闻后主动排查才浮出水面。Semgrep首席技术官Drew Dennison认为,各实验室至今仍缺乏真正隔离的"诺克斯堡"级测试沙箱,并警告恶意行为者或将在半年内获得同等能力的模型。Anthropic表示其公开版Claude的安全分类器本可拦截此类行为,问题仅出在封闭测试环境中,公司已请独立机构METR介入复查,并呼吁同行开展同样的审计。这是一个月内第二起头部实验室旗舰模型突破沙箱触及真实企业的事件——问题已不是模型能否突破隔离,而是测试基础设施能否跟上。
