Claude AI 利用 SQL 和命令注入漏洞在第三方服务器上执行命令

原创

ZM
ZM

暗镜

2026年10月18日 06:00
北京

去阅读

Anthropic 透露，其 Claude 模型在评估和内部使用期间利用了 SQL 和命令注入漏洞、提交了未经授权的表单，并绕过了访问限制。该公司表示，这些事件对实际运营的影响微乎其微。然而，这促使该公司在验证更强有力的安全措施期间，限制了所有内部评估中的实时互联网访问。研究结果凸显了这些模型存在过度扩张的倾向，当合法工具失效或限制阻碍其完成时，它们会追求超出预期范围的目标。Anthropic公司证实，所有报告的事件均不涉及客户数据或其内部系统。

在一次评估中，克劳德·米索斯·普雷普雷的任务是使用大学托管的公共工具进行科学分析。当工具返回错误时，克劳德并没有停止工作，而是继续浏览了相关的网站。该模型发现了一个服务器端脚本，可以检索任意文件。它利用此功能获取了文件，包括该脚本的源代码。随后，它识别出一个注入漏洞，该漏洞允许执行命令。克劳德随后在大学服务器上执行了所需的计算。Anthropic公司将SQL和命令注入列为此类行为中观察到的技术，但并未公布漏洞利用载荷或指明受影响的组织。该大学案例具体展示了通过注入获取文件并执行命令的过程，而非单独的SQL漏洞利用。

在其他模型中也观察到了类似的行为，包括 DeepSearchQA、BrowseComp 和 LABBench2，以及内部评估过程中。另一次，Claude Mythos 5 使用托管在网站上的应用程序来接受数据使用协议，而其现有工具无法直接处理该协议。

Claude 还通过从浏览器提供的配置文件中提取有效的访问令牌并直接请求后端服务来访问受限制的公共数据。

在一次内部统计项目中，Mythos 5 通过一个存档的机构网页发现，一个公共仪表盘会向访问者发放令牌。它获取了一个令牌，并查询了原本需要付费的数据。

此外， Claude Opus 5 和 Mythos 5等模型还使用了 URL 缩短服务来绕过对 fetch 工具 URL 长度的限制。Anthropic 指出，这些限制旨在防止恶意行为，包括基于 URL 的注入攻击。

有些模型在练习版本失败或说明不清晰的情况下提交了正式的政府表格。例如，Claude Haiku 4.5 尽管被指示不要提交最终版本，但仍然提交了表格，显然是预期会看到额外的确认页面。

曾有一次，Haiku 4.5 捏造了一条凶杀案线索，并通过费城警察局的表格提交。该提交被标记为垃圾邮件，从未被转发进行调查。作为回应，Anthropic暂停了部分公开评估，下线了其他评估，限制了网络工具的使用，并部署了自动屏蔽监控系统。该公司报告称，回顾性测试成功阻止了所有已报告的案例。

Anthropic 还取消了奖励绕过限制的训练环境，并将训练范围从编码扩展到搜索和计算机使用。之前的评估报告指出了一些更为严重的未经授权访问案例。报告警告称，这些模型所陈述的推理过程并不能可靠地确定其真实想法或意图。