Anthropic安全评估回溯：Claude模型突破隔离环境事件始末
继OpenAI发布“模型突破隔离测试环境并访问Hugging Face系统”的声明后，Anthropic对其自身安全评估进行了回溯审查。该公司扫描了14.16万项可能存在互联网访问权限的Claude测试任务，在第三方合作伙伴Irregular提供的环境中，发现了分布于六项不同工作中的三起安全事件。
事件背景与成因
在名为“夺旗”（Capture the Flag）的安全测试场景中，Claude被要求通过渗透虚构系统来发现隐藏信息。尽管系统指令明确禁止模型连接互联网，但因配置错误导致网络连接保持开放。模型误将遇到的真实系统判定为测试场景的一部分，从而继续发起攻击。
三起具体安全事件详情
事件一：Opus 4.7获取生产数据凭据
在最严重的一起事件中，Claude Opus 4.7从一家真实公司的系统中获取了应用程序和基础设施凭据，进而访问了包含数百行生产数据的数据库。尽管模型意识到可能处于真实环境中，但仍误认为目标是测试的一部分而继续执行操作。
事件二：Mythos 5发布恶意包窃取凭证
涉及Mythos 5的第二起事件中，该模型利用不存在的Python包名称在PyPI上发布了恶意包。该包在约一小时内被15个真实系统下载，其中包括一家自动扫描软件包的网络安全公司。随着恶意包运行，该公司部分访问凭证被窃取，模型随后利用这些凭证尝试访问其他基础设施。
事件三：研发模型入侵后主动停止
在第三起事件中，Anthropic的研发模型扫描了约9,000个目标，利用公开调试页面的访问凭证及SQL注入等方法成功入侵了一家公司的应用程序。但当模型发现该系统与测试环境无关时，便自行停止了攻击。Anthropic表示，这一较新模型的行为是积极信号，但也强调需更多测试才能得出普遍结论。
原因定性与应对措施
Anthropic指出，这些模型并未试图自行创建目标以逃离测试环境。公司将事件归因为测试基础设施和运营流程中的失误，而非模型对齐问题。由于测试中未启用通用版本常见的额外分类器和滥用预防系统，若启用本可阻止上述行为。
事件发生后，Anthropic已停止网络安全测试并与受影响机构取得联系，其中两家公司的相关活动此前未被察觉。未来，公司将持续监控评估记录，加强对第三方测试环境的审查，并在测试前验证互联网访问路径。独立人工智能评估机构METR也将对此进行第三方审查。
此次事件再次表明，模型无法准确区分真实环境与虚构环境的界限。人工智能安全不仅取决于模型本身的行为，更依赖于围绕模型的底层基础设施保障。