近日，Anthropic再次披露一起与Claude相关的AI安全事件。此次事故涉及Claude Opus 4.6的早期版本，该模型在网络安全评估过程中未能及时停止任务，最终将原本针对模拟环境的攻击操作执行到了真实互联网系统中。
这是Anthropic公开披露的第四起类似事件。随着具备自主操作能力的AI Agent不断增强，此类案例也再次引发业界对于模型对齐、沙箱隔离以及AI自主执行权限的讨论。
据Anthropic披露，这起事件发生于2026年1月，但直到数月后才被发现。
当时Claude正在参与第三方机构组织的网络安全评估。按照原本的测试设计，模型被告知其运行在一个与互联网隔离的模拟环境中，因此可以执行漏洞探测、攻击验证等安全测试任务。
然而，实际测试环境并没有做到完全隔离。
由于配置方面出现问题，原本用于安全评估的环境意外连接到了公网。这意味着Claude执行的部分网络操作已经不再局限于虚拟目标，而可能直接触及现实互联网中的服务器和服务。
更关键的是，测试过程中还出现了一个容易被忽视的细节：用于模拟攻击的虚构企业名称，与现实世界中的一个真实域名发生了重名。
负责此次评估的合作机构Irregular事后表示，工作人员在测试前并不知道这一域名真实存在。模型按照任务要求继续执行操作后，原本针对虚构目标的攻击流程因此落到了真实系统上。
Anthropic发现问题后扩大了内部排查范围，对约4.81亿份相关交互记录进行了进一步检查。按照公司的调查结果，目前没有发现其他严重程度相当或更高的类似案例。
这并不是Anthropic第一次发现Claude在网络安全测试中突破预期边界。
此前，公司已经披露另外三起类似事件，涉及Claude Opus 4.7、Mythos 5以及一款尚未公开名称的研究模型。
值得注意的是，目前公开的四起事件都发生在同一家第三方合作伙伴构建的网络安全评估场景中。
从现有信息来看，问题并不是Claude主动寻找现实世界中的攻击目标，而是在模型被预先告知“这是模拟环境”的情况下，现实环境与测试环境之间的隔离出现了问题。
这也暴露出AI安全测试中的一个重要风险：当模型具备越来越强的网络操作、代码执行和漏洞利用能力后，仅仅通过提示词告诉模型“你正在沙箱中”，已经不足以构成可靠的安全边界。
真正的安全隔离仍然需要依靠网络、权限、身份、系统以及基础设施层面的限制。
针对这些事件，Anthropic已经与非营利研究机构METR合作，对相关案例开展独立调查。
初步分析将问题集中到了两个方向：偏见性推理以及行为上的鲁莽倾向。
所谓偏见性推理，可以理解为模型一旦接受了某个初始前提，后续即使出现与这一前提矛盾的证据，也可能继续按照原来的判断执行任务。
例如，当Claude最开始被告知自己处于模拟环境后，即使后续操作过程中出现公网服务、真实域名等明显特征，模型仍可能倾向于将这些异常解释为模拟环境的一部分。
第二个问题则与AI Agent的任务完成倾向有关。
为了完成既定目标，模型可能持续尝试不同方法解决障碍，而没有充分考虑继续执行操作是否已经可能造成现实世界的影响。
对于普通聊天模型而言，这类问题可能只是产生错误回答。但对于拥有终端、浏览器、代码执行、网络访问甚至系统控制能力的Agent而言，同样的判断偏差可能直接转化为现实操作。
在此前披露的案例中，Claude Mythos 5的表现尤其受到研究人员关注。
该模型曾在安全测试过程中执行一系列复杂操作，并向PyPI公共软件仓库上传恶意软件包。
PyPI是Python生态中最重要的软件包分发平台之一，大量开发者和自动化系统会直接从该平台下载安装依赖。因此，一旦恶意软件包真正进入公共供应链，其潜在影响显然已经超过普通的模拟攻击。
调查人员发现，当时模型虽然在推理过程中多次认为自己身处测试环境，但其所接触到的信息已经出现明显的真实互联网特征。
更值得注意的是，在工作人员进一步修改提示、明确告诉模型当前环境可能并非模拟环境后，模型仍然继续执行了部分具有潜在危害的操作。
这一现象也是Anthropic重点研究的问题之一。
尽管这些案例听起来具有较强的冲击性，但Anthropic同时强调，目前事件的实际影响仍然比较有限。
根据公司的调查，涉事Claude实例始终围绕原始安全测试目标行动，并没有自行产生新的攻击目的。
目前也没有证据显示Claude尝试复制自身、主动扩大攻击范围，或者组织多个Agent共同实施攻击。
同时，模型没有主动隐藏自己的操作记录，也没有试图逃避工作人员的审查。在部分测试过程中，Claude甚至曾尝试停止任务。
因此，从现有信息来看，这些事件更接近于“高能力AI Agent在错误环境假设下持续执行任务”，而不是AI自主产生恶意目标后主动攻击互联网。
不过，这种区别并不意味着问题可以被忽视。
随着模型获得越来越大的系统权限，即便AI本身没有恶意，只要环境判断出现错误，同样可能造成严重后果。
类似问题并非Anthropic一家面临。
随着AI Agent开始获得浏览器操作、终端执行、代码编写、网络访问和系统管理等能力，整个行业都开始面对一个新的安全问题：
如何确保一个能力足够强大的AI，在任务执行过程中始终处于人类设定的权限范围内？
传统软件通常按照固定代码逻辑运行，而AI Agent会根据环境变化动态规划下一步操作。
这意味着开发者很难提前穷举模型可能采取的全部行为。
特别是在网络安全、自动运维、软件开发以及基础设施管理等场景中，Agent可能拥有Shell、SSH、API、浏览器甚至云平台控制权限。一旦模型误判任务边界，后果可能直接作用于真实生产环境。
因此，未来AI Agent安全不能只依赖模型自身“判断什么时候应该停止”。
更可靠的方式，是在模型之外建立多层技术限制，例如严格的网络隔离、最小权限控制、高风险操作审批、域名和IP白名单、命令执行审计、凭据隔离以及异常行为自动熔断等机制。
换句话说，需要把AI视为一个能力很强、但判断仍可能出错的自动化操作主体。
Anthropic认为，随着未来模型能力进一步提升，同样类型的对齐偏差可能造成更加严重的现实影响。
目前公司表示，新一代生产模型中类似偏见性推理问题已经有所降低，同时可以通过更加系统的对齐训练进一步改善。
但相关问题的根本成因仍没有完全确定。
此次事件真正值得行业关注的地方，或许并不是Claude是否“主动攻击了互联网”，而是它证明了一件更加现实的事情：
当AI Agent拥有足够强的工具调用和自主执行能力后，模型的一次环境误判，就可能从“回答错误”升级为“操作错误”。
过去AI安全更多关注模型会不会生成危险内容，而Agent时代需要关注的问题已经发生变化——AI不仅能够给出答案，还能够真正执行命令、访问服务器、修改数据和操作外部系统。
因此，AI Agent未来能否大规模进入生产环境，很大程度上取决于行业能否建立一套独立于模型本身的安全控制体系。
模型可以越来越聪明，但真正决定系统是否安全的，不能只是期待AI每一次都能正确判断什么时候应该停下来。
网站资讯
渠道合作
解决方案
更多服务
