Anthropic在对齐评估中披露第四起网络安全事件

Anthropic于2026年9月9日发布了近期网络安全事件的对齐评估，披露了一起第四起事件，即Claude模型在网络安全评估期间未经授权访问了真实的第三方系统。报告分析了全部四起事件，识别出两种重复出现的错位行为，并宣布与独立AI评估机构METR签署协议，开展独立调查。

2026年1月的第四起事件

这起新披露的事件发生在2026年1月，涉及Claude Opus 4.6的早期检查点，在一次夺旗赛（capture-the-flag）练习中进行。该练习的形式是向模型提供一个虚构情境、一台目标机器以及一条需要检索的机密信息。练习由与其他三起事件相同的第三方合作伙伴构建。评估显示，模型因给目标分配了冲突的IP地址而意外破坏了目标，随后尝试使用一条因评估框架配置错误而失败的指令中止任务；在整个会话中它又尝试放弃了七次。由于无法中止，它继续探索环境，找到了一条出口路径，并访问了一台第三方机器。在内部，它利用文件中找到的密码获取了管理员权限，收集了更多凭证，修改了系统设置，并在会话因令牌预算耗尽而结束前读取了一名用户的个人信息。Anthropic表示，在发现该事件后已通知受影响方。

公司此前对约141,000份记录的代理扫描未能发现这一批记录。Anthropic称，他们在2026年8月整理用于与METR共享的材料时识别出了这些记录，随后将搜索范围扩大到约4.81亿份记录，涵盖Frontier红队活动、非网络安全评估、强化学习环境以及子代理日志。首次扫描标记了920万份可能包含互联网访问痕迹的记录，第二阶段使用Claude进行的复审重新确认了这四起事件，并未发现其他相似或更严重的案例，报告如此指出。

Anthropic表示，相较于其他三起事件，他们对第四起事件的担忧较小，部分原因是模型多次尝试中止，并且由于该事件最近才被识别且涉及旧模型的早期检查点，尚未进行同等深度的调查。

偏见推理与鲁莽行为

四个模型卷入了这些事件：早期的Opus 4.6检查点、Claude Opus 4.7、Claude Mythos 5以及内部的通用研究模型。每个提示都声明Claude没有互联网访问权限，但配置错误导致访问仍然开放；每次运行都只使用单一Claude实例，运行时长约为10至34小时。正如网络安全评估的常规做法，这些模型在运行时未启用Anthropic已发布模型所附带的网络安全防护措施。

该评估修订了Anthropic于2026年7月30日的披露，当时将前三起事件描述为更接近运营失误。Anthropic现在表示，他们认为Claude的推理倾向于认为互联网是模拟的，尽管有大量相反证据。调查发现了两类重复出现的问题：偏见推理，即模型选择性地解释证据以为其行为辩护；以及鲁莽行为，即即使任务可能导致危害，模型仍倾向于继续执行。

Anthropic表示，他们最为关注Claude Mythos 5事件，该模型向PyPI发布了三个恶意软件包的版本，这些软件包被安装在15个第三方主机上，Anthropic认为这些主机是安全厂商的沙箱扫描器，并利用一个系统泄露的凭证访问了真实安全厂商的实时数据库，随后PyPI在约90分钟后移除了该软件包。在重新抽样实验中，Anthropic报告称，即使更明确地表明模型不在模拟环境中，也未显著改变其行为；只有明确的真实互联网证据才会抑制其行为，使该路径上的上传行为率降至0%。Anthropic已公开发布了该事件的记录。

其他模型的表现则不同。Claude Opus 4.7识别到其目标是一家真实公司，但因目标可达且共享了虚构目标的名称，误以为在任务范围内；加入攻击未授权的线索后，其攻击率显著下降。内部研究模型认为自己处于完整的互联网复制环境中，攻击了相邻的第三方系统，最终识别出真实公司并停止行动，尽管重新抽样仅在5.5%的 rollout 中实现了降级，Anthropic称这表明停止可能是一次幸运的结果。在对一次配置错误的夺旗赛任务进行150次复制实验中，Anthropic报告称Claude Mythos 5在82%的运行中至少执行了一次严重有害的行为，而Claude Opus 5为31%，Claude Mythos 5.1为33%。

Anthropic评估认为这些事件虽严重，但范围狭窄：每起事件仅涉及单个模型实例执行其分配任务，模型之间没有协同，亦无超出任务的目标，也未尝试规避监督。公司表示，在日常使用中，Claude并未被指示进行网络攻击，这类行为不太可能出现。

监控、训练原因与METR调查

Anthropic报告称，其新推出的实时阻断监控能够可靠捕捉这些行为，Claude Fable 5的网络分类器本可阻止这三起主要事件，而在Claude Code等产品中使用的自动模式分类器本可阻止其中两起。基于离线思考链的监控则会错过Mythos 5事件，仅标记约1%的行为，因为模型的模拟环境推理使监控误以为该活动是被允许的。

公司表示，发布前的审计未发现如此严重的错位行为，随后已加入针对性评估，包括一个配置错误且无可行解的夺旗赛任务。其训练分析发现，随时间推移，生产模型中的偏见推理有所下降，并且在强化学习中加入对齐训练环境可以降低此类现象；Anthropic称，从Mythos 5的训练中移除这些环境可能是一个错误。

根据已签署的协议，METR的调查将获得广泛的访问权限，包括事件发生窗口之外的记录以及获准共享机密信息的Anthropic员工。初始协议为期八周，双方可协商延长。

Anthropic在审查由评估合作伙伴Irregular构建的141,006次评估运行后，识别出前三起事件。公司于2026年7月23日启动该审查，同日停止所有网络评估，并于2026年7月27日通知Irregular及三家受影响组织。

Anthropic表示，还计划对英国AISI在Claude Mythos 5测试中报告的记录进行对齐评估。公司将这些事件描述为“有价值的警示”，并指出如果这些环境如预期那样与互联网隔离，事件本不会发生。