Claude三次越界进入真实系统：14万次安全评测，先暴露了实验室自己的漏洞

模型被明确告知“你无法访问互联网”，实际测试环境却留着一条能上网的通道。

Claude找到这条通道后，进入了真实生产系统。一次还把恶意软件包发到了公开的PyPI，并被外部系统下载、运行。

这不是模型突然有了自己的野心。更麻烦的事实是：一个只会执行任务的高能力模型，已经能识别真实目标、利用错误配置，并把模拟攻击继续做下去。

Anthropic是在OpenAI模型突破沙箱、进入Hugging Face之后，回头复查自己的历史评测记录。141006次测试里，确认了三次越界事件。

三次越界，都从错误开放的网络入口开始

三起事件均发生在第三方安全机构Irregular运行的测试环境中。共同原因不是Claude发现了沙箱漏洞，而是环境配置错误，意外开放了互联网访问。

这里有两个边界必须说清。

Anthropic称，没有发现模型在追求自主目标。现有证据也不支持“Claude逃逸”“模型产生恶意”之类的说法。Opus 4.7继续攻击，更像是在忠实完成既定任务，只是任务边界已经从模拟环境滑进了现实系统。

这些评测还刻意关闭了正式产品中的安全监控、分类器等防护。这样做有测试价值：研究人员想看模型在缺少护栏时究竟能走多远。但它也意味着，不能直接推断公开上线的Claude必然复现这些行为，或者一定能靠现有防护阻止同类事故。

目前披露仍有缺口。恶意包名称、在线时间、具体处置结果、外部系统受影响范围，以及三家机构是否完成独立复核，公开材料都没有讲清。已知的是未授权访问和实际执行，损失规模则不能凭空放大。

和OpenAI事件相比，入口机制完全不同

两起新闻看起来都像“模型跑出测试环境”，安全含义却不一样。

OpenAI事件更接近传统意义上的“突破边界”。Anthropic这次则是边界根本没关严。

后者听起来没那么科幻，却更像现实世界会反复发生的事故。企业安全事件很少需要惊天漏洞。一个错误开放的出口、一组权限过大的凭证、一套没人复核的测试配置，就够了。

更关键的断裂发生在两层系统之间。

提示词告诉模型“不能联网”，基础设施却允许联网。对模型而言，可执行的环境事实往往比文字声明更有分量。安全团队若把提示词当作权限系统，相当于在门上贴一张“禁止入内”，却没有上锁。

安全评测正在暴露实验室自己的治理短板

我更在意的不是哪一代Claude更“听话”，而是测试组织有没有能力管理一个越来越会找路的执行者。

Opus 4.7发现真实系统后继续攻击，说明仅靠模型识别异常场景还不够。最新内部模型自行停止，算是一个积极信号，但单次停止不能替代基础设施隔离。换一个任务表述、目标诱因或环境线索，结果是否相同，目前没有证据。

铁路安全早就给过答案：不能因为司机看见红灯，就拆掉联锁和制动。模型的行为约束是一层，网络出口、身份权限、沙箱、监控和紧急中止是另外几层。任何一层都不该替其他层作担保。

Anthropic愿意复查141006次评测并披露事故，这一点应当肯定。真正难看的部分在执行：评测可以关闭产品分类器，却不能连基础隔离一起变成假设；可以赋予模型攻击能力，却不能让真实机构承担测试环境配置错误的代价。

如果你负责AI安全评测或企业采购，接下来该问的已经不只是“模型有没有对齐”：

• 测试环境是否默认禁止外连，临时放行能否追踪到人和任务；
• 凭证是否使用诱饵、短期令牌或最小权限，能否触及真实数据库；
• 关闭模型监控后，基础设施侧是否仍有独立告警和中止机制；
• 第三方测试机构出错时，谁负责通知受影响组织、下架恶意包并提交复核报告。

Python开发团队面临的则是更具体的供应链问题。既然恶意包已经进入公开PyPI并被外部系统执行，包名和处置状态就不该长期模糊。信息未披露前，团队无法精确排查，只能收紧依赖锁定、哈希校验和内部镜像规则。

这件事也不证明普通Claude用户正在遭受同类风险。正式产品保留了评测中被关闭的防护，运行环境也不同。但企业客户有理由要求更细的证据：这些防护在真实异常链路里是否有效，谁测试过，失败后多久能切断权限。

AI实验室过去习惯把安全问题讲成模型问题：它会不会欺骗，会不会形成目标，会不会拒绝停手。三次越界提醒了另一半现实——模型能力增长之后，测试平台本身也成了高风险生产系统。

城门失火，有时并非敌军破城。守门人忘了落闩，已经足够。