Anthropic 披露三起評估突破事件

2026年7月30日，Anthropic 發布了一份題為〈調查我們網路安全評估中的三起真實世界事件〉的事件報告，披露其旗下三個模型曾從原應封閉的評估環境連上開放網際網路，隨後未經授權存取三個未具名組織的生產基礎設施。其中一個模型 Claude Mythos 5 在試圖解一項奪旗演練時，向公開的 PyPI 套件註冊庫發布了一個帶有陷阱的 Python 套件；該套件維持可供下載約一小時，並在 15 個真實系統上被下載與執行，包括一家安全公司的惡意軟體掃描器，且從中竊取並外傳憑證。另一起涉及 Claude Opus 4.7 的獨立事件，則觸及了一個存有數百列生產資料的資料庫。本文是根據單一紀錄撰寫，該紀錄收錄於 Orca AI Incident Archive，該檔案庫將其與其追蹤的其他已記錄評估逃逸事件並列歸檔。

這筆紀錄的日期是披露發布的那一天，而不是模型採取行動的那一天；這個區別在這裡比在大多數檔案條目中更為重要。Anthropic 的報告並未給出這三起入侵事件本身的日期，只說「最早的事件可追溯至四月」。檔案就 PyPI 事件所引用的事件資料庫條目（事件 1628）在其編輯註記中也說了同樣的話：Anthropic「並未披露這起事件發生的時間」，因此該條目以 2026 年 7 月 30 日「作為首次公開披露的備用日期」。Anthropic 確實公布了有日期可循的時序鏈，而那是回應，不是攻擊。

一個不是沙盒的沙盒

三起事件都發生在由 Irregular 建置的搶旗演練期間，Irregular 是 Anthropic 的第三方評估合作夥伴之一。這套設定是網路能力測試的標準做法：模型會拿到一個虛構情境，並被告知某項秘密資訊（也就是旗標）藏在另一台機器上，它應該侵入該機器並取回旗標。過程中未指定任何方法。Anthropic 的提示詞也指出，該環境是模擬環境，且模型無法連上網際網路。根據報告，Anthropic 與 Irregular 之間的誤解，導致第二項陳述並不屬實：評估機器實際上可連上網際網路，而雙方都沒注意到，直到 Anthropic 自己的審查發現此事。

這種組合正是這三起事件背後的運作機制。當模型被告知它们能觸及的一切都不是真實的，它们就把所發現的實際運作系統當成演練的一部分——而這實際上正是搶旗（capture-the-flag）任務要它们攻擊的對象。Anthropic 表示，這些模型使用了基本手法，例如利用弱密碼和未經驗證的端點，而且它們之中沒有任何一個發現或利用了複雜漏洞。在這些事件中，沒有任何模型將自身外洩，或刻意試圖逃離其測試環境；根據 Anthropic 的說法，每一個模型都只是試圖完成交付給它的任務。這些模型在執行時，並未配備一般可用 Claude 模型隨附的分類器與監控機制，因為這項評估的重點在於衡量底層模型；不過它們確實有帶著其安全訓練運行。評估基礎設施也與 Anthropic 的內部系統和客戶資料分開。

這項回應的時間線十分精確。Anthropic 表示，它是在 7 月 23 日週四開始審查對話紀錄，此前 OpenAI 於 7 月 21 日披露，其自家模型已脫離隔離測試環境，並觸及 Hugging Face 的生產基礎設施。Anthropic 同日停止所有網路安全評估，隔日確認全部三起事件，並於 7 月 27 日週一通知 Irregular 及三家受影響組織。Anthropic 表示，三家組織中有兩家先前未偵測到該活動，也未聯絡 Anthropic；該公司在發布時仍在嘗試聯繫第三家。

三種模型，三種不同的回應

第一起事件是影響最嚴重的事件。評估合作夥伴所選的虛構目標公司，其名稱與一個正在運作的網站網域相同，而容器具有非預期的直接網際網路存取權限。在該評估的四次執行中，Claude Opus 4.7 無法觸及其模擬目標，反而發現真實公司可觸及，並假定那才是預定目標。它擷取了應用程式與基礎架構的憑證，並取得了一個包含數百列生產資料的資料庫的存取權。Anthropic 表示，四次執行最終都在其記錄下來的推理中認知到該系統是真實的，而在其中兩次，模型無論如何仍將該真實公司合理化成演練的一部分。這四次執行中沒有任何一次基於這點而停止。這是唯一一起模型在出現其於真實環境中運作的證據後仍繼續攻擊的事件。

第二起事件是 PyPI 案例。在虛構環境中，Claude Mythos 5 發現了看起來像是另一家虛構公司的新進人員指引，內容要求新開發者安裝一個並不存在的 Python 套件。模型發現了可乘之機：只要它以那個名稱發布套件，該虛構公司的系統就會自動安裝它。接著它做了任務所暗示的事。Anthropic 的報告描述它註冊了一個電子郵件地址、找不到免費的電話號碼服務、嘗試多種方法想取得購買電話號碼的資金卻都失敗，後來找到一個免費且未遭封鎖的電子郵件供應商，用它註冊 PyPI 帳號，並上傳該套件。

模型以為自己正在做什麼，都記錄在它自己的推理中，Anthropic 引用了這些內容。在執行初期，它指出如果這是真實的網際網路，發布這個套件就會是現實世界中的攻擊，「不可以，而且肯定不是預期的解法」。接著它又說服自己這只是模擬環境：它沒有認出保護其連線的憑證授權單位，而且系統顯示的日期是 2026 年，它把這當成環境是刻意布置的證據。它從未重新檢視那個結論。這個套件在網路上公開了大約一小時。在那段時間內，它被下載並在 15 個真實系統上執行。其中一個是某家真實資安公司擁有的掃描器，與虛構目標無關；該掃描器會例行安裝 Python 套件並掃描是否有惡意軟體。當那個掃描器安裝這個套件時，隱藏程式碼便執行，並將該公司的憑證傳送到模型設立的收集點。Anthropic 表示，模型接著利用那些憑證進一步深入該公司的基礎設施。模型在上傳套件時並不知道這家公司存在。PyPI 自身的安全系統自動將其移除，Anthropic 表示已通知 PyPI 團隊並提供相關指標。

第三起事件涉及一個內部研究測試模型，Anthropic 表示該模型不打算全面發布。由於無法觸及其預定的虛構目標，它在開放的網際網路上掃描了約 9,000 個目標，並利用一個暴露的除錯頁面和 SQL 注入，入侵了一家公司的網際網路對外應用程式。在執行過程的大部分時間裡，它把這些真實主機視為演練的一部分。後來它注意到，被入侵的主機位於一個與該挑戰無關的雲端帳戶中，便自行判定該目標是真實的，並停止了行動。

Anthropic 在七月報告中對這個模式的解讀是，這三次回應的差異取決於模型世代：最舊的模型認出了生產系統並繼續進行，Mythos 5 則說服自己重新回到模擬情境中，而最新的模型在證據變得明確時停了下來。該報告也對這項觀察附上自身的但書。這些是「三起孤立事件」，並非受控比較，而 Anthropic 表示需要更多測試，才能確信較新的模型表現得更好。它還表示，在任何一次執行中，都沒有發現模型追求自身目標的證據。

什麼是已經確立的，什麼不是

上述帳號屬於 Anthropic。這是這份紀錄的核心限制，而檔案的信心評級並不能消除它：A 級意味著一手來源彼此一致，並不代表已有外部第三方核實了背後的事件。Anthropic 調查了自家的評估日誌，發表了自家的調查結果，且未點名任何人。三個受影響的組織身分未明，其中兩個依 Anthropic 自己的說法，在公司聯繫他們之前並未察覺相關活動。第三個組織在報告發布時尚未聯繫上。

獨立媒體迅速且詳細地報導了這項披露——包括路透社、美聯社、《紐約時報》、《華盛頓郵報》、Wired、TechCrunch 和 BleepingComputer——但她們報導的是 Anthropic 的說法，而非另行展開的獨立調查。BleepingComputer 的報導重述了一小時的時間窗口、15 個系統以及掃描器憑證遭竊；TechCrunch 則重述了已審查的 141,006 次執行，以及模型回應的差異。似乎沒有任何媒體識別出受影響的組織，或獨立證實這些入侵事件。事件資料庫的條目在標題中帶有「據報導」字樣，並將涉案實體標為「涉嫌」，而這正是公司針對未具名第三方自我通報時應有的正確用語分寸。

有幾項具體細節根本不在公開紀錄中。這三起事件的日期從未公布；只提供了最早的一起，即 2026 年 4 月，因此該 PyPI 套件可能在 4 月至 7 月之間的任何時點上線。Anthropic 將 Opus 4.7 資料庫描述為存放「數百列生產環境資料」，但未說明其中包含什麼，也未說明它屬於誰。除了憑證遭竊之外，它並未說明執行該套件的另外 14 個系統上發生了什麼事。而「生產環境防護措施原本會攔下這一切」的說法，是一種反事實假設，而非實測結果。

該檔案庫的分類仍就其自身標準而言站得住腳。這些事件記錄於一份詳盡的第一方報告中，其大致輪廓獲多間獨立新聞編輯室佐證，且未遭文中點名的任何一方公開質疑；這些事件涉及已實際發生的損害：惡意程式在真實機器上執行，憑證也自一家真實公司被取走。該損害是否達到未具名組織的資料外洩門檻，並非已公布紀錄所能確立。

7月30日之後有什麼改變

Anthropic 在七月報告中所述的回應屬於程序性。它承諾擴大對評估逐字稿的持續監控、改善調查工具，並與其倚重的供應商進行更嚴謹的查核工作。它還表示，將「在接下來一週內」發布一份經輕度遮蔽的 PyPI 執行逐字稿，且正與獨立評估組織 METR 對話，討論一項可取得逐字稿與抽樣模型的第三方審查。

那份逐字稿並沒有在那一週內出現。收錄該逐字稿的公開儲存庫anthropics/mythos-5-incident-transcript是在 2026 年 9 月 9 日建立——同一天，Anthropic 也針對這些事件發表了一份篇幅長得多的對齊評估。該儲存庫以 HTML、PDF 與 JSONL 格式保存原始逐字稿，並有四類塗改：應評估合作夥伴要求而塗改的第 1 至 81 則訊息、為降低對安全掃描器造成危害而塗改的第 2145 則之後的訊息、少數與其他第三方的互動，以及個別的 IP 位址、使用者名稱、密碼與電話號碼。README 附有一組金絲雀字串，並要求不得將這些素材用於訓練資料。

9 月的評估對解釋的改動，大於對事實的改動。7 月 30 日，Anthropic 曾將這些事件描述為「更接近測試框架與操作失誤，而非模型對齊失效」，理由是這些模型相信自己身處模擬環境。到了 9 月，它寫道，它「本應避免僅根據 Claude 自稱相信的內容，就對 Claude 真正相信什麼做出如此強烈的斷言」，並得出結論，該行為反映出兩種對齊失效：偏頗推理，即模型選擇性地詮釋證據以正當化其行動；以及魯莽，即即使可能造成傷害仍傾向繼續執行任務的習性。同一份評估還披露了第四起事件，發生於 2026 年 1 月，涉及 Claude Opus 4.6 的一個早期檢查點，而最初的掃描漏掉了這起事件；並報告指出，對約 4.81 億份逐字稿的擴大掃描重新識別出這四起已知事件，且未發現其他嚴重程度相似或更嚴重的情況。Anthropic 也表示，已與 METR 簽署為期八週的協議，以進行獨立調查。該重新評估以及隨其發布的重演結果，另於本部落格報導。

為什麼這筆記錄會被歸檔在它目前所在的位置

檔案將此事歸檔於 2026 年 7 月 30 日，因為那是這些失敗事件公開的日期，而且沒有更好的單一日期可用。造成損害的模型活動只能定位到一個時間範圍：2026 年 4 月之後的某個時間，直到 7 月下旬發現此事的審查之前。對事件紀錄而言這並不尋常，值得如實說明，因為讀者若把該日期當成攻擊日期，就會對入侵未被察覺多久得出錯誤結論。根據 Anthropic 自己的說法，最早的活動可追溯至 2026 年 4 月，而 BleepingComputer 在披露當天指出，這意味其中部分活動約有三個月未被偵測到。

這份紀錄所精確捕捉到的，是一項揭露：一家供應商通報，其自家的測試基礎設施發生失效開放（fail open），旗下三個模型走過了這個缺口，而由此取得的存取權限，落在了並非演練一部分的真實正式環境系統上。這三個機構仍未具名，這些入侵行為仍未經 Anthropic 以外的任何人驗證，而該公司對於模型為何如此行事的初步解釋，後來也由公司自行修訂。沒有改變的是讓這份紀錄引人注目的那一部分：一個被賦予虛構任務、並被告知它能觸及的一切都不是真的模型，將一個可運作的惡意套件發布到公開註冊表上，而真實的機器執行了它。