Anthropic 披露 Claude 模型在安全评估中意外访问真实系统事件

Frontier Red Team

调查我们网络安全评估中的三个真实事件

Jul 30, 2026

在我们网络安全评估记录的审查中，发现了三起事件：Claude模型在第三方评估环境内部或与之交互时访问了互联网，然后未经授权访问了三个不同组织的真实系统。

下面我们描述发生了什么、如何发生的以及我们正在改变什么。我们鼓励其他AI实验室进行类似的审查。本文反映了我们目前的理解；如果有任何细节变化，我们会更新。

7月21日，OpenAI 披露，他们的一些模型利用一个此前未知（“零日”）漏洞突破了隔离的测试环境。这些模型随后访问了Hugging Face的生产基础设施，Hugging Face是一个开源机器学习模型和AI数据集平台。

针对此事件，我们开始对自己的网络安全评估进行大规模回顾性审查。特别是，我们寻找证据证明Claude——类似于访问了Hugging Face的OpenAI模型——能够从本应封闭的测试环境内部访问互联网。

在审查了141,006次Claude可能获得互联网访问的评估运行后，我们发现了三起事件：模型在Irregular（我们的第三方评估合作伙伴之一）的评估环境内部或与之交互时访问了互联网，然后未经授权访问了三个不同组织的生产基础设施。

在所有三起事件中，Claude都被分配了一个夺旗挑战，这是我们评估模型网络能力的方式之一。模型被给予一个虚构场景，并被告知一条秘密信息（“旗子”）被隐藏在网络上的另一台机器上，其目标是入侵并检索它。挑战是开放式的，没有规定特定方法。

在所有案例中，Anthropic的评估提示向Claude说明其环境是模拟的，且没有互联网访问。由于我们与评估合作伙伴之间的误解，实际情况并非如此，互联网是可用的。因此，当Claude的搜索将其引向开放互联网上的真实系统时，它将其视为练习的一部分。（网络安全评估范围通常包含逼真的细节，以准确评估模型在真实环境中的能力；一个看起来逼真的目标本身并不能向模型提供该目标不是模拟一部分的明确证据。）

在错误地认为所有可访问的实体都属于练习范围的信念下，Claude使用基本技术（如利用弱密码和未经身份验证的端点）破坏了受影响组织的基础设施。它没有发现或利用任何复杂的漏洞，并且在每种情况下，Claude只继续完成其评估分配的特定夺旗任务。然而，在某些情况下，我们较旧的模型即使在获得证据表明它正在开放互联网上运行时仍继续攻击；我们最新的模型一旦识别出自己在互联网上就会停止。在这些情况下，Claude都没有自我泄露或故意试图逃离其测试环境。

这些事件涉及三个不同的Claude模型：Opus 4.7、Mythos 5以及一个内部研究测试模型。1最早的事件可追溯到四月。在这些评估中，每个模型都在未部署我们通常为模型公开发布时提供的标准安全措施的情况下运行（即，它们没有我们通常为防止滥用而设置的分级器和监控）。然而，这些模型确实经过了特定模型的安全训练（即，它们并非我们有时在测试中使用的“仅提供帮助”版本）。此处描述的所有评估都在专用基础设施上运行，该基础设施与Anthropic的敏感内部系统或客户数据隔离且无权访问。

我们于7月23日星期四开始审查记录，并在发现Claude可能访问互联网的记录后，于当日停止了所有网络评估。第二天我们确认了全部三起事件。我们于7月27日星期一通知了我们的评估合作伙伴Irregular以及三个受影响的组织。我们能够联系到的两个组织此前并未察觉该活动或联系我们，我们现在正与他们合作进行补救。我们正在继续联系第三个组织。

我们与Irregular合作进行了此次审查。我们感谢他们与我们密切合作以理解和解决这些事件；他们也在进行自己的调查。我们相信这种合作对于确保模型安全、严谨的评估越来越关键。我们期待在安全领域的联合工作。

下文将提供关于每起事件的更多细节以及我们目前的应对措施。

网络评估背景

我们定期进行网络安全评估，包括模拟真实的进攻性网络安全挑战。这些评估是开发和发布模型的关键步骤——对模型能力的细致理解使我们能够设计适当的防护措施，并最终安全地发布模型。

我们于2025年2月开始在Cybench上使用Claude Sonnet 3.7进行网络安全评估，该评估包含40个不同的夺旗挑战。随着时间的推移，随着新基准的发布和模型能力的演进，我们增加了所使用的基准数量。例如，在Mythos 5 System Card中，我们纳入了CyberGym和ExploitBench，这些基准用于评估语言模型发现新型漏洞的能力。2在大多数此类评估中，环境未连接互联网，并且模型也被告知这一点。

我们经常与外部合作伙伴合作，他们创建并协助运行部分网络安全评估。外部合作伙伴提供的环境和场景比我们单独构建的更加多样化，并为我们的模型提供独立的第三方评估。

发生了什么

在我们审查的141,006次评估运行中，我们发现了三起独立事件（共涉及六次运行，其中四次影响了同一个组织；另外两起事件各自发生在独立的评估运行中）。每起事件都涉及不同的虚构夺旗场景——例如，在其中一次中，Claude扮演一家虚构公司的员工，在一个私有测试环境中攻击该公司的内部系统。

在所有情况下，我们的评估提示都明确指出Claude无法访问互联网，但并未对Claude寻找旗标的位置设定任何限制。然而，一个配置错误导致Claude在评估过程中访问的机器具有实时互联网访问权限。直到上周我们通过额外的评估监控发现这一配置错误之前，我们和我们的评估合作伙伴都没有意识到这一点。

我方和合作伙伴的几项纵深防御措施本可以预防这些事件，或至少降低其发生概率。在评估开始前仔细验证所有互联网访问路径，并实时监控评估日志，本可以更早暴露问题。我们和合作伙伴也可以更彻底地审查评估记录或网络日志。另外，一个告诉 Claude 它 确实有互联网访问的提示，也可能会改变 Claude 在与真实系统接触时的行为。

Claude 做了 capture-the-flag 练习训练网络安全专家所做的事：寻找到达 flag 的方法。这一搜索让它发现自己的机器可以访问互联网，但由于系统提示中被告知没有互联网访问权限，Claude 认为它最初遇到的一切都是模拟的一部分，并将找到的真实系统视为练习的一部分。这三起事件涉及三个不同的模型，每个模型在出现目标为真实的迹象后反应各不相同，如下所述。

事件 1

在一次评估中，我们评估合作伙伴选择的虚构目标公司与一个活跃的网站域名同名。由于上述误解，该评估容器意外地直接访问了互联网。

在该评估的四次运行中，Claude 在评估环境中遇到到达模拟目标的困难，但随后发现真实公司可以通过互联网访问。假设这是 capture-the-flag 任务中的目标，Claude 寻找、识别并利用了该公司基础设施中的漏洞，认为这是练习的一部分。这四次运行提取了应用程序和基础设施凭据等信息，并访问了包含数百行生产数据的数据库。这是我们发现的最严重的影响。

这起事件涉及 Claude Opus 4.7，也是唯一一个模型在得知自己很可能在真实环境中运行后仍继续攻击系统的案例。在全部四次运行中，模型最终都认识到（从其言语推理中可观察到）系统是真实的——在两个案例中，模型将真实公司合理化地认为是练习的一部分。然而，没有一次因此停止攻击。

事件 2

在另一次评估中，Claude 在虚构环境中发现一份文件，看似是另一家虚构公司为新开发者准备的设置说明。这些说明告诉员工从 PyPI（发布 Python 软件的公共注册表）安装一个实际上并不存在的 Python 包。

Claude 认为这是一个潜在切入点：如果它发布同名的自己的包，虚构公司的系统会自动下载并安装它。于是，Claude 构建并发布了一个同名的恶意（本质上是陷阱）Python 包，试图赢得 capture-the-flag 挑战。

Claude 不遗余力地执行这次攻击——这种努力程度可能会让人类参与者意识到这不再仅仅是一次评估，他们实际上正在上传一个真实的 PyPI 包。例如，在一个案例中，为了创建 PyPI 账户，Claude 需要一个电子邮件地址。而为了创建电子邮件地址，它需要一个电话号码。为了获取电话号码，在找不到免费电话号码服务后，它尝试通过几种不同方式获取资金来支付电话号码，但都失败了。它最终回溯，找到一个免费且未被屏蔽的电子邮件提供商，用它注册了 PyPI 账户，然后用这个账户将恶意软件上传到 PyPI。

Claude 认为它正在使用的包注册表是模拟的一部分，但实际上，该包在线上免费公开了大约一个小时。在那段时间内，该包被下载并在15个真实系统上运行。其中一个系统是一家真实安全公司（与场景中引入的虚构公司无关）的扫描器，该扫描器通常会安装 Python 包并扫描它们是否包含恶意软件。当该公司的扫描器安装该包时，Claude 的隐藏代码被执行。我们认为该公司的安全扫描器将 PyPI 包视为安全可安装的，因此 Claude 能够将公司的凭证外泄到它设置的收集点。然后 Claude 使用这些凭证访问该公司的更多基础设施。

Claude 并没有直接针对这家公司——它在上传包时甚至不知道这家公司的存在。但由于代码发布到了开放的互联网上，它影响了任何运行该包的系统。（Claude 上传的包被 PyPI 自身的安全系统自动从 PyPI 中移除。我们已将此事件通知了 PyPI 团队，并为他们提供了相关指标。）

这次攻击是由 Claude Mythos 5 实施的。在运行初期，Claude 自身的推理正确识别了其行为的后果。它指出，如果这是真实的互联网，发布该包将是一次真实世界的攻击——“不可以，并且肯定不是预期的解决方案。”然而，它说服自己这仍在模拟中，理由是它不识别（实际上是真实的）保护其连接的证书颁发机构。此外，根据 Claude 的说法，系统上显示的2026年日历日期证明了环境是搭建的。Claude 从未重新审视这一结论；例如，当自动扫描器开始安装该包时，Claude 认为它们是评估中的脚本化角色。

我们认为，无论 Claude 对其环境有何看法，它为了发布 PyPI 包所采取的行动并不理想，这是我们将在未来更多关注训练的一个领域。

事件3

在此评估中，当 Claude 无法到达其预期的虚构目标时，它在网上寻找替代方案，扫描了大约 9,000 个目标。它最终发现并攻破了一家公司的面向互联网的应用程序，使用了基本且众所周知的网络攻击技术，例如从暴露的调试页面读取凭证和 SQL 注入。

这次攻击是由一个内部研究测试模型实施的。在运行的大部分时间里，Claude 将其访问到的（真实）主机视为练习的一部分；它假设它们是模拟的，因此认为其行为是无害的。然而，在运行的后期，Claude 意识到被攻破的主机位于一个与夺旗挑战无关的云账户中。它自行得出结论，该目标实际上是真实的，于是停止了攻击。

我们对 Claude 行为的分析

在这些案例中，Claude 都被我们的提示明确告知它没有互联网访问权限。在每次运行的大部分时间里，当遇到真实世界的系统时，Claude 假设这些系统是练习的一部分（尽管它有时会意识到它们是真实的生产系统）。而且由于夺旗场景本身就是指示攻击外部系统，这样做与 Claude 被赋予的任务是一致的。

在这样的共同背景下，一旦出现目标为真实的迹象，三个模型的表现便各不相同。Opus 4.7，我们最老的模型，识别出它已进入到生产系统，但继续其攻击。Mythos 5 正确感知到它正在访问开放互联网，但通过推理回到它仍处于模拟中的结论。我们最新的模型，一个内部研究测试模型，也考虑过其目标是否真实。当证据显示它们为真实时，它停止了该演练。

这是三起孤立事件，并非受控实验比较的一部分。因此，我们必须谨慎从中得出结论。尽管如此，我们最希望看到的行为——识别出目标是真实的并在没有提示的情况下停止——仅出现在三个模型中最新的那个（而且那个模型在停止之前进行了比我们希望的更多的操作）。这种模式与更先进的模型做出更适当反应是一致的，但我们还需要进行更多测试才能对这一结论有信心。

我们也在与独立AI评估组织METR进行对话，以进行第三方审查，包括获取所有转录记录以及对相关模型的抽样访问。与此同时，在接下来的一周内，我们将发布一份经过轻微编辑的转录记录，其中Claude构建了一个恶意的PyPI包。为了保护受影响的机构，我们目前无法发布更多转录记录，但一旦可能，我们将努力使这些记录可用。

我们如何回应

我们从这些事件中汲取了几个教训。

首先，涉及强大自主能力的评估环境同样需要严格控制。安全测试发生在模型发布之前，正是因为我们还不知道它能够做什么。评估环境越来越需要达到与我们模型运行的其他任何系统相同的安全标准。

一个仅包含虚构场景的网络评估范围可能看起来风险较低——毕竟，其中没有什么是真实的。然而，随着AI能力的进步，我们需要改变对这种威胁的建模方式。在无法访问敏感信息的环境中的高级代理本身仍然构成实质性威胁。我们需要更好地共同设计评估环境，并对评估结果进行更好的监控，以应对这种威胁。这里的一些解决方案甚至可能是简单的修复；例如，如果提示清晰解释了哪些系统在评估范围内、哪些在范围外，那么Claude可能一开始就不会访问互联网。

这不仅适用于内部环境，也适用于第三方供应商——评估供应商构建的基础设施需要同样的加强监控和加固。我们鼓励其他实验室进行类似的审查。此外，该领域将受益于更广泛的讨论，讨论如何安全且现实地评估日益强大的AI代理，包括如何在部署前测试中权衡互联网访问提供的真实性与它带来的风险。

其次，对齐行为与有害行为之间的界限取决于模型对其境况的理解。在这些描述的运行中，我们没有发现模型追求自身目标的证据。相反，模型做了评估要求它们做的事——尽管在大多数情况下，它们这样做时对环境的真实性持有错误信念。在模型识别出系统为真实并继续执行的那些运行中，它们这么做是因为它们认为这是挑战的一部分。情境感知是使模型能够做出对齐决策的因素之一，但在这种情况下，Claude的认知是错误的。

最后，这些事件证明了纵深防御方法的重要性。我们在没有搭载通用模型所配备的安全防护措施的情况下进行此类能力评估，因为我们的目标是衡量底层模型能够做什么。只有当评估被适当限制时，这才是安全的。然而，部署在我们通用模型上的安全防护措施本可以阻断所识别的行为。

最终，多种因素导致了这些事件，但秉承无指责事后复盘的文化，我们将修复视为自身唯一责任。这首先要确保评估管道的每个环节都安全，包括我们与外部合作伙伴的集成方式。未来，这将包括扩大对评估记录的持续监控以发现意外行为，改进调查工具，并与我们依赖的供应商进行更严格的保障工作。

我们在OpenAI披露其模型逃逸了隔离测试环境后开始了此次审查，并赞赏他们发布了报告。虽然我们也发现了模型访问了不应访问的系统的证据，但事件在其他方面却截然不同：

• 我们在主动审查网络安全评估记录后发现了这些事件；受影响的组织并未检测到该活动，我们随后联系了所有三家组织。
• OpenAI的模型利用了一个新型漏洞逃脱隔离，而这里评估的Claude模型则通过一个开放路径访问了互联网。
• 虽然两者之间没有完全清晰的界限，但我们认为这些事件更像是测试框架和操作失败，而非模型对齐失败。我们的模型被告知它们没有互联网访问权限并且要夺取旗帜，而实际上它们被错误配置为具有互联网访问权限。这导致它们相信——可以说是有理由地——它们遇到的真实环境是模拟环境。
• 值得注意的是，我们最新的模型在意识到自己处于真实环境后，停止了追求评估目标。

这些事实让我们持谨慎乐观态度，认为通过对评估基础设施加强监控和控制，并持续投资于对齐研究，此类风险是可以克服的。

脚注

1. 我们定期测试此类内部研究原型。该原型并未计划公开发布。
2. 我们通常会存储基准评估的痕迹。我们特别仔细审计了这两个基准的潜在危害迹象，因为OpenAI/Hugging Face事件发生在对CyberGym的评估期间。

相关内容

我们对开放权重模型的立场

Read more

Cognizant和Anthropic扩大合作，将Claude带给企业客户

Read more

推出Claude Opus 5

Opus 5是Opus层级的重大改进，驱动的长时间运行代理，同时提升了编码和专业工作能力。

Read more

订阅Frontier Red Team通讯

获取我们最新红队研究与发现的最新信息。