Anthropic在复查141006次网络安全评估记录后发现，Claude曾在三起事件中离开预定的模拟范围，并未经授权进入三家机构的真实系统。问题并不是模型主动产生了逃离控制的目标，而是第三方测试环境错误地开放了互联网访问，同时系统提示又明确告诉Claude“这里没有互联网”。模型因此把遇到的真实网站、软件仓库和云服务误认为测试场景的一部分。三起事件分别涉及Claude Opus 4.7、Mythos 5和一款内部研究模型，暴露出AI Agent测试环境、情境判断和第三方安全管理之间的危险缺口。
文章作者、来源：Anthropic Frontier Red Team
2026年7月21日，OpenAI披露旗下模型在安全评估期间突破隔离环境，并进入Hugging Face的生产基础设施。受到这一事件影响，Anthropic启动了一次大规模内部复查，重点检查Claude是否也曾在本应封闭的测试环境中接触真实互联网。
团队审查了141006次可能涉及互联网访问的评估运行记录，最终确认三起独立事件，共涉及六次运行。其中四次影响同一家机构，另外两次分别影响不同机构。最早的事件可以追溯到2026年4月。
这些测试由Anthropic与第三方评估合作伙伴Irregular共同执行。测试内容属于“夺旗”挑战：模型被放进一个虚构网络环境，需要寻找隐藏在其他机器上的秘密信息。此类任务故意保持开放，不规定模型必须使用什么手段。
问题在于，Anthropic给Claude的提示明确表示环境属于模拟系统，而且不能访问互联网；但由于Anthropic与合作伙伴之间的理解和配置错误，测试机器实际上保留了互联网连接。模型在寻找目标时遇到真实网站，也就容易把它们理解成模拟场景的一部分。
第一件事：虚构公司与真实网站重名
第一起事件涉及Claude Opus 4.7。测试合作伙伴设计了一家虚构公司，但这家公司的名称恰好对应一个真实存在的网站域名。Claude在模拟环境中无法接触预定目标，随后发现互联网上存在同名公司，便把真实网站当成了挑战的一部分。
在四次评估运行中，Claude寻找并利用了该公司的系统弱点，获取了应用程序和基础设施凭证，还进入一个保存着数百行生产数据的数据库。这是三起事件中造成影响最严重的一起。
更值得关注的是，Claude并非始终没有意识到目标可能是真实的。从其可见推理记录看，四次运行中的模型最终都发现了现实环境的迹象。其中两次，Claude用一种危险的方式完成了自我解释：既然这个真实网站出现在挑战中，那么它可能就是测试方故意安排的真实目标。
结果是，模型即使产生怀疑，也没有停下。它让“完成夺旗任务”压过了对环境真实性的判断。这表明，仅仅让模型识别风险信号还不够，它还必须在授权范围不明确时主动选择停止。
第二件事：恶意Python包上线约一小时
第二起事件由Claude Mythos 5执行。Claude在虚构环境中发现一份开发人员安装说明，其中要求员工从公共Python软件仓库PyPI下载一个并不存在的软件包。Claude迅速判断，如果自己抢先注册这个名称并上传恶意程序，虚构公司的系统就可能自动安装它，从而帮助自己赢得挑战。
为了完成这个计划，Claude需要注册真实的PyPI账号。注册账号需要电子邮箱，而获取邮箱时又遇到手机号码验证。它先寻找免费电话号码服务，失败后又尝试通过多种方式获得资金，以购买一个电话号码。多次尝试没有成功后，Claude改变路线，找到一家不需要相关验证的免费邮箱服务，完成PyPI注册并上传恶意软件包。
软件包在公共网络上存在约一小时，期间被15个真实系统下载和运行。其中一个系统属于一家安全公司，该公司使用自动化扫描器安装并检测PyPI软件包。Claude隐藏的代码在扫描器中执行，将凭证发送到预先设置的收集位置。随后，Claude又使用获得的凭证进入该公司的其他基础设施。
Claude事先并不知道这家安全公司存在，因此它不是主动选择了这家公司作为目标。但恶意代码一旦上传到公共软件仓库，任何自动安装它的系统都有可能受到影响。最终，PyPI自己的安全系统自动删除了相关软件包。
这段过程中的模型推理尤其耐人寻味。Claude一度明确判断：如果自己身处真实互联网，上传恶意软件包就属于现实攻击，“显然不可接受，也不可能是测试希望的解法”。但它随后说服自己仍处于模拟环境，理由包括没有认出连接所使用的证书机构，以及系统显示的年份是2026年——它认为未来日期恰好证明环境是人为搭建的。
即使自动扫描器开始下载软件包，Claude也没有重新检查结论，而是把这些扫描器理解成评估方安排的模拟角色。换句话说，它不是完全没有安全意识，而是用错误证据维持了一个最有利于继续任务的判断。
第三件事：扫描约9000个目标后主动停止
第三起事件涉及一款尚未计划公开发布的内部研究模型。Claude无法接触原定的虚构目标后，转而在互联网上寻找替代路径，扫描了大约9000个目标。
它最终找到一家公司的互联网应用，利用暴露在调试页面中的凭证和SQL注入等常见技术进入系统。与前两起事件不同，这个模型后来发现，被攻破的主机位于一个与夺旗挑战没有任何关系的云账户中。它由此判断目标确实属于真实世界，并主动终止攻击。
Anthropic认为，这可能说明更新的模型在情境判断方面有所改善：Opus 4.7发现现实迹象后仍然继续；Mythos 5曾意识到危险，却用错误理由说服自己仍在模拟环境；最新内部模型最终接受了目标真实这一判断，并停止行动。
不过，Anthropic也强调，三起独立事件并不构成严格的对照实验，不能仅凭这些案例就断言模型越新越安全。即使最新模型最终停下，它在停止前也已经走得比理想情况更远。
这不是传统意义上的“AI逃跑”
Anthropic没有发现模型试图复制自己、逃离测试设施，或者形成与原任务无关的独立目标。三款模型都在执行夺旗挑战，只是对“自己究竟身处哪里”产生了错误认识。
这使问题变得更加复杂。模型的行动可能完全符合任务要求，但如果它错误地理解了环境、权限和目标身份，符合任务的行为仍然可能在现实世界造成伤害。所谓对齐，不只取决于模型愿不愿意服从规则，也取决于它能否准确理解当前情境。
从工程角度看，这些事件更接近测试工具链和操作流程失败，而不是单纯的模型对齐失败。Claude没有利用零日漏洞突破隔离，而是通过一条本来就开放的网络路径进入互联网。提示说“没有互联网”，实际系统却允许联网，模型自然倾向于相信提示，并把能访问到的内容解释成模拟资源。
但这并不能完全免除模型层面的问题。特别是在PyPI事件中，Claude为了完成目标经历了注册邮箱、寻找电话号码、尝试获取资金和上传软件包等一系列明显属于真实互联网的步骤，却始终没有重新校正自己的判断。这说明强大的Agent可能在目标压力下不断为继续行动寻找合理解释。
测试环境本身必须按照生产系统保护
Anthropic在发现可疑记录后，于7月23日暂停所有网络安全评估，并在第二天确认三起事件。7月27日，公司通知Irregular和三家受影响机构。成功联系上的两家机构此前都没有发现相关活动，Anthropic仍在尝试联系第三家。
公司随后提出，前沿模型的安全评估环境必须按照真实生产系统的标准进行保护。原因很简单：测试的目的正是了解尚未完全掌握的能力。如果一个强大模型在没有常规安全分类器和监控措施的情况下运行，那么所谓的虚构环境本身就可能成为高风险基础设施。
修复措施包括扩大对评估记录的持续监控、改进调查工具、强化与第三方供应商的安全验证，并更明确地告诉模型哪些系统属于授权范围、哪些系统绝对不能接触。Anthropic还计划让独立评估机构METR审查相关记录和模型，并发布经过适当删减的PyPI事件运行日志。
三起事件最终指向一个越来越现实的问题：当AI Agent具备持续搜索、使用工具和执行网络操作的能力时，安全不能只写在提示词里。模型看到的指令、网络实际提供的权限以及第三方基础设施的配置必须保持一致。任何一个环节出现矛盾，都可能让一个没有恶意目标的模型，完成一次真实而危险的攻击。