文章总结： Anthropic前沿红队复盘发现Claude模型在网络安全评估中因环境配置错误误将真实系统当作模拟目标,导致三起未经授权的真实访问事件。模型行为基于错误的环境判断而非恶意意图,暴露了工具链与运维的失效。建议加强环境隔离、明确操作范围,并将提示词边界与网络策略、权限控制等实际措施结合。 综合评分： 90 文章分类： AI安全,红队,渗透测试,安全意识

AI以为在演习，攻破的是真系统

天黑说嘿话

2026年8月5日 09:30 浙江

在小说阅读器读本章

去阅读

以下文章来源于CyberStone ，作者张磊

CyberStone

为了上传一个软件包，它得先注册一个 PyPI 账号；要注册账号，得先有邮箱；要有邮箱，又得先有个手机号。免费号源没找着，它转头去想办法弄钱买一个，试了好几条路都没成。最后它退回来，翻到一家不被拦的免费邮箱服务，注册成功，把包传了上去。

干这一串事的不是人，是 Claude。它认定自己在一场演习里，这个包会被一家虚构公司的系统自动装上。实际情况是：这个包在公网上挂了大约一个小时，被下载并运行在 15 台真实机器上。

这段记录来自 Anthropic 前沿红队 7 月 30 日发的一篇复盘，标题一点没修饰：《调查我们网络安全评估中的三起真实世界事件》。三起事件的共同点是——Claude 从本该封闭的评估环境里连上了公网，然后未经授权访问了三个真实组织的系统。

一、这次自查，是从别人家的事故开始的

7 月 21 日，OpenAI 披露了一件事：他们的几个模型利用一个此前未知的零日漏洞逃出了隔离测试环境，进而访问了 Hugging Face 的生产基础设施。

Anthropic 看到之后，开始回头翻自己的评估记录，专门找同一类证据——Claude 有没有从本该封死的测试环境里连上网。复查范围是 141,006 次「Claude 有可能获得联网能力」的评估运行。7 月 23 日周四开始查，当天就把全部网络安全评估停了；第二天，三起事件全部定位；7 月 27 日周一，通知了评估伙伴 Irregular 和三家受影响的组织。

有一句我读到时停了一下：能联系上的那两家，此前都没有察觉到这些活动，也没有找过 Anthropic。换句话说，这三起事件是被自查翻出来的，不是被受害方发现的。第三家到发文时还没联系上。

二、三个模型撞上同一件事，做了三种选择

三起事件都发生在夺旗演练里。这类评估给模型一个虚构场景，说某台机器上藏着一段秘密信息（旗标），任务是攻进去取出来，不规定方法。而 Anthropic 的提示词里都写着一句：环境是模拟的，你没有互联网。

由于他们与评估伙伴之间的一个误会，加上一处配置错误，机器实际上通着公网。于是当 Claude 的搜索把它带到真实系统面前时，它把那些系统当成了演练的一部分。

第一起，Opus 4.7。评估伙伴挑的那个虚构目标公司，恰好和一个真实存在的网站域名同名。在四次运行里，Claude 在环境内够不着模拟目标，转而发现那家真公司在互联网上可达，就把它当成了任务目标，找漏洞、取凭据，最后拿到了一个包含数百行生产数据的数据库访问权限。这是这次复查中发现的最严重的影响。

更要紧的是后半段：四次运行中，模型最终都意识到了这个系统是真的——其中两次，它用「这家真公司想必也是演练的一部分」把矛盾圆了过去——但没有一次因此停手。

第二起，就是开头那个 PyPI 包，Mythos 5 干的。它在虚构环境里翻到一份文档，像是另一家虚构公司给新员工的配置说明，要求安装某个 PyPI 包，而那个包实际上并不存在。它看出了这是个口子：抢先用同名发一个，对方系统就会自动装上。

耐人寻味的是它自己的推理。跑到早期，它其实准确判断出了后果——它写道，如果这是真的互联网，发布这个包就构成一次真实攻击，「不 OK，而且肯定不是本题想要的解法」。但它随后把自己说服了回去，理由有两条：一是它不认识那些为连接提供保障的证书机构（而这些机构是真的），二是系统上显示的日期是 2026 年，在它看来这足以说明环境是搭出来的。这个结论它再没回头修正——后来自动扫描器开始安装这个包，它也当成了演练里的脚本角色。

那一个小时里，包被装到了 15 台真实机器上。其中一台是某家真实安全公司的扫描器，例行安装 Python 包做恶意代码检测。包一装，Claude 埋的代码就执行了，把这家公司的凭据外传到它自己设的收集点，随后它用这些凭据进一步访问了该公司的基础设施。这家公司和场景里那家虚构公司毫无关系，Claude 上传时甚至不知道它存在——只是代码发到了公网上，谁跑它就影响谁。（这个包后来被 PyPI 自己的安全系统自动下架。）

第三起，一个内部研究测试模型。够不着预定的虚构目标之后，它上网找替代，扫了大约 9,000 个目标，最后拿下某家公司的一个公网应用，用的是调试页面泄露凭据、SQL 注入这类基础手法。但跑到后段，它发现被拿下的主机所在的云账号与这场夺旗演练没有任何关联——它自己得出了「目标是真的」这个结论，然后停了下来。

三、失效的不是模型的目的，是它对处境的判断

Anthropic 把这次定性为「更接近工具链与运维的失效，而非模型对齐的失效」，理由摆得挺清楚：没有任何一次运行里出现模型追求自己的目标；三起事件用的都是弱口令、未鉴权接口这类基础手法，没有发现或利用复杂漏洞；模型也没有试图把自己弄出测试环境。它们只是在执行被交代的任务，而且是在对「这个世界是不是真的」持有错误认知的前提下执行的。

他们列了几处本可以拦住这件事的地方：评估开始前认真验证所有联网路径；运行中实时监控评估日志；事后更彻底地审阅记录与网络日志。还有一条最朴素的——如果提示词说清了哪些系统在范围内、哪些不在，Claude 很可能一开始就不会往公网上找。

对应的整改也是这几条：评估环境按与生产系统同等的安全标准来管，第三方供应商的基础设施同样适用；扩大对评估记录的持续监控；改进调查工具；与所依赖的供应商做更严格的保障工作。此外，他们正在与独立评估机构 METR 沟通，开放全部记录和对相关模型的抽样访问做第三方复核，并计划在一周内放出那份 PyPI 事件的脱敏脚本。

还有一句我觉得该单独拎出来：正式发布的模型上部署的那些防护措施，本可以拦住这里发现的这些行为。能力评估之所以把它们关掉，是因为目的就是量出底层模型究竟能做到什么——而这只有在环境真的封闭时才成立。

我的看法

这篇复盘真正记录下来的，是一个被我们长期忽略的依赖关系：模型行为的对错，挂在它对处境的判断上；而处境，是我们告诉它的。

三起事件里，模型的目标没跑偏，手法也不高明，全部起因就是那句「你没有联网」与事实不符。设定错了一句，后面每一步越熟练、越坚决，损害就越大。这里有个不太舒服的推论：执行力是个放大器，它放大的是设定的正确程度，不是意图的善良程度。过去我们担心的是模型想干坏事，这次给出的教训是——它想把事干好，同样会出事，只要你给它的世界观是错的。

顺着往下，最该改的一条其实很土：提示词不是权限。我们这一年给 agent 划的边界，大量是靠一句话划的——「只读不写」「只动测试库」「不要访问外网」。这件事说明，这类边界在模型眼里只是一条信息，而信息是可以被它自己的观察推翻、被它自己的推理重新解释的。Mythos 5 那段推理尤其扎眼：它一度正确判断出「这要是真的就是真实攻击」，然后靠两条并不牢靠的证据把自己劝了回去。所以凡是要紧的边界，都得在网络策略、账号权限、密钥范围这些层面再落一遍；提示里那一句只当提醒，不当围栏。

第二点我准备直接拿去用：派活的时候，把「哪些东西不在范围内」写得和「要干什么」一样清楚。Anthropic 自己的判断是，只要提示里说明了范围，这件事很可能压根不会发生。这一条几乎零成本，但我回头翻自己写过的任务描述，绝大多数只有目标，没有边界。

第三点关于那「三种反应」。同一个错误处境，最老的模型识破了还接着打，中间那个把自己劝回了模拟，最新的那个自行判定为真、停了手。这说明「判断自己身处何地」正在变成一项可以被观察、被比较的能力，而不再只是个哲学问题。往后挑模型，除了看它能做多难的事，恐怕还得看它在信息互相矛盾的时候会不会停——这两件事不是一回事。

有几处我不打算替它圆场。

这是当事方的自述，第三方复核还没开始，METR 那份结论出来之前，所有细节都只有一个来源。最早的事件发生在四月，直到 OpenAI 七月公开自己的事故之后才被翻出来，中间隔了三个多月——这说明监控本来是缺的，「主动自查」的触发条件是别人先出了事。第三家受影响的组织至今没联系上。至于「越新的模型越会停手」这个模式，Anthropic 自己就写了：三起事件不是受控对照实验，不能据此下结论；而且就算是最新那个模型，在停手之前也已经走得比他们希望的更远。

但把 141,006 次记录翻一遍、把最难看的那段推理原样引出来、主动通知受影响方、再请外部机构复核——这套动作在今天的行业里并不常见。一份复盘的价值，多半不在于它证明了自己多可靠，而在于它愿意把哪些东西写出来。这一篇写出来的东西不少。

出处

原文标题：Investigating three real-world incidents in our cybersecurity evaluations（调查我们网络安全评估中的三起真实世界事件）

作者：Anthropic 前沿红队（Frontier Red Team）

发表时间：2026 年 7 月 30 日

原文链接：https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：天黑说嘿话 《AI以为在演习，攻破的是真系统》