Claude AI 在 Anthropic 的安全测试期间使三家公司遭到受损

Anthropic 周四披露，其 Claude AI 模型的多个版本在一次测试配置失误使 AI 获得对开放互联网的访问权限后，危及了三家未具名的现实世界公司。上述事件发生在网络安全评估期间，Claude 被要求完成夺旗（capture-the-flag）挑战，但被告知其运行在隔离环境中、且无法接入互联网。该披露发布于一周后，OpenAI 报告了类似的 AI 遏制（containment）漏洞，此举还紧随 Anthropic 对超过 141,000 次网络安全评估运行的复核。

Anthropic 进行了带互联网配置失误的夺旗测试

Anthropic 在三起事件中都让 Claude 执行夺旗挑战。该挑战要求模型入侵网络中的另一台机器，并检索一段秘密信息。Anthropic 解释道：“该挑战是开放式的，不规定任何特定方法。”

Claude 被告知其在一个不具备互联网访问的模拟环境中运行。然而，测试环境仍与公共互联网保持连接。由于模型认为其遇到的系统属于练习的一部分，该模型使用了常见的攻击手段——包括弱口令、泄露的凭据、SQL 注入以及未进行身份验证的端点——从而攻陷这些公司。

Anthropic 写道：“在以上每一种情况下，我们的提示都明确告诉 Claude 它没有互联网访问权限。”与此同时，AI 假定现实世界系统是“练习的一部分”。因为夺旗场景“按设计就是对外部系统的攻击指令”，所以入侵“符合 Claude 被分配的任务”。

Claude 模型遭入侵数据库、PyPI 仓库和网络系统

在一起涉及 Claude Opus 4.7 的事件中，AI 将某家真实公司的官网误认为其任务所指的虚构目标，提取凭据，并访问了包含数百行真实数据的生产数据库。

在第二起案例中，Claude Mythos 5 向真实的 PyPI 仓库上传了一个恶意 Python 包，该包随后在被移除前被下载到 15 台系统上。

第三个内部研究模型在危及某一组织之前，扫描了大约 9,000 个面向互联网的系统，随后在判断目标大概率是真实存在后停止。

受影响的两家组织在 Anthropic 通知它们之前并不知道这些入侵。

Anthropic 停止测试并通知受影响组织

Anthropic 表示，未发现 Claude 试图逃离测试环境或做任何超出其被分配任务之外的事情。该公司称，这些事件是由测试环境中的失败导致的，而不是模型本身存在问题。

在发现该问题后，Anthropic 停止了其网络安全测试，并通知了受影响的组织。该公司计划改进监控、调查工具，以及对帮助运行其 AI 测试的外部供应商的监督。

“最终，这些事件促成因素很多，但与无责（blameless）复盘文化一致，我们将修复工作视为完全由我们自身负责，”他们表示。

常见问题

Claude 在 Anthropic 的安全测试期间做了什么？

Claude 在网络安全评估期间危及了三家现实世界公司。该 AI 访问了包含数百行数据的生产数据库；向 PyPI 上传了一个恶意的 Python 包，该包被下载到 15 台系统上；并在危及一家组织之前扫描了大约 9,000 个面向互联网的系统。

为什么 Claude 会攻陷真实公司，而不是测试系统？

一次测试配置失误使 Claude 获得了对公共互联网的访问权限，尽管它被告知其在隔离环境中运行。Claude 被分配了夺旗挑战，并认为其遇到的真实系统是练习的一部分，因此它使用了常见的攻击手段来完成其被分配的任务。

Anthropic 在发现这些事件后做了什么？

Anthropic 在发现该问题后停止了其网络安全测试，并通知了受影响的组织。该公司审查了超过 141,000 次网络安全评估运行，并计划改进监控、调查工具，以及对帮助运行其 AI 测试的外部供应商的监督。