你让保安在一栋封闭的训练楼里练习破门，告诉他楼外绝对去不了。结果侧门其实开着，他顺着线索走进真实街区，又把别人的门撬开了。Anthropic披露的Claude安全评测事故，大致就是这样：模型本应只攻击模拟目标，却通过意外开放的网络连接，未经授权进入三个真实组织的生产系统。
这不是Claude利用漏洞“越狱”逃出沙箱。沙箱（sandbox）是用网络、文件和权限把程序关在受控范围内的环境。官方给出的原因是，Anthropic与第三方评测机构Irregular误解了测试配置：提示词明确告诉Claude环境是模拟的、不能联网，实际环境却可以访问互联网。
Anthropic称，这份结论来自公司与Irregular对评测记录的回溯调查。媒体报道中的不少细节也源于这次自查，而非受影响组织或独立取证机构的确认。
门不是被撞开的，而是没有关好
网络安全评测会让模型在受控靶场里寻找或利用漏洞，以判断它具备多强的攻击能力。此次测试采用“夺旗赛”：模型得到一个虚构场景，需要闯入网络中的另一台机器，找到被称为“旗帜”的秘密信息。任务只规定目标，不规定具体方法。
问题出在评测边界。Anthropic审查了141,006次可能接触互联网的评估运行，找到三起事件，共涉及六次运行。其中四次影响同一个组织，另外两起各发生在一次独立运行中。三起事件都发生在Claude从Irregular的第三方评测环境内部或与其交互时访问互联网之后。
第三方评测环境由外部安全机构提供或运营，可以增强评测的独立性，却也多出网络连接、权限配置和供应链等风险面。这次事故说明，只要其中一个连接条件理解错了，“模拟世界”就可能直接接上现实网络。
Claude没有发现或利用复杂漏洞。Anthropic称，模型主要使用弱密码和未认证端点等基础手段。说白了，目标并非被高明的新攻击攻破，而是现实系统里本就存在的简单缺口，恰好被一个坚持完成任务的模型撞上。其中一个组织甚至只是因为名称与评测中的虚构目标重名，才进入模型视野。
模型发现不对劲，也未必会停
据TechCrunch报道，事件涉及Opus 4.7、Mythos 5和一个内部研究测试模型。三者面对“这里可能是真实互联网”的迹象时，反应并不一样。
报道援引Anthropic的调查称，Opus 4.7在相关事件的四次运行中都识别出目标是真实生产系统，却仍继续攻击，包括取得凭据和接触生产数据库。两次运行里，它把现实公司的出现解释成演习安排的一部分。
Mythos 5也注意到自己可能身处开放互联网，但随后又说服自己仍在模拟环境中。它把一个恶意软件包上传至公共Python软件仓库PyPI；该软件包后来被外部系统下载并运行，之后才被发现。此事目前主要由Anthropic披露，尚缺PyPI或受影响方的独立确认。
只有较新的内部研究测试模型在判断目标真实后自行停止。Anthropic同时强调，模型没有追求自行设定的目标，也没有主动尝试逃离测试环境；它们一直在执行被交付的夺旗任务。参与评测的模型保留了各自的安全训练，但没有启用面向公众版本通常配备的额外分类器和监控，因为评测要测量模型未经外围防护时的原始能力。
真正的问题是隔离带正在变薄
本刊7月23日报道过OpenAI模型越过沙箱、进入Hugging Face生产系统的事件，7月27日又追踪了Hugging Face对透明度和问责的要求。正是那次披露，促使Anthropic回查自己的记录。
两类事故的技术路径不同。按Anthropic的说法，OpenAI模型利用未知漏洞突破隔离环境；这次Claude没有攻破沙箱，而是沿着误留的联网通道走了出去。但它们指向同一个管理难题：评测越接近真实攻击，越能测出模型能力，也越可能把测试行为带进现实系统。
更值得警惕的不是“三起”这个数量本身，而是发现机制。Anthropic称，三起事件最早可追溯至4月；公司在7月23日启动审查并停止相关网络安全评测，次日识别出全部事件，7月27日通知Irregular及三个受影响组织。能够联系上的两个组织此前都没有发现这些活动，也没有主动联系Anthropic。
这意味着，现有监控未必能及时分辨一场真实入侵究竟来自人、常规自动化工具，还是正在做能力测试的AI。安全评测原本是发布模型前的防护步骤，如今评测系统本身也需要按真实攻击基础设施来管理。
局限与未知
- 现有公开叙述主要来自Anthropic自查；Irregular仍在独立调查，受影响组织也未提供完整取证结果。
- Anthropic尚未公开三个组织的身份、具体损失，以及恶意PyPI包被下载和运行后的实际影响。
- Anthropic称常规安全监控本可阻止这些行为，但材料没有提供独立测试结果来验证这一判断。