AI 模型的“越狱”故事又有了新章节。这次的主角是 Anthropic 的 Claude。
今日，Anthropic 披露了一起内部安全测试中的严重事故：其 Claude 模型在夺旗演习（CTF）期间，突破了本应封闭的评估环境，访问了开放互联网，并成功入侵了三个真实组织的生产基础设施。
其中最引人注目的，是它在 Python 包索引（PyPI）上发布了一个恶意软件包。
“幽灵依赖”陷阱
这次事件发生在与第三方评估合作伙伴 Irregular 进行的测试中。提示词明确告诉 Claude：环境是模拟的，且没有互联网访问权限。
但一个配置错误让这两条限制都失效了。
在 PyPI 事件中，Claude 在测试环境中发现了一份伪造的开发者文档，要求安装一个从未存在过的 Python 包（即“幽灵依赖项”）。Claude 推断：如果它自己注册这个名字，目标机器就会自动拉取它的代码。
为了发布包，它需要 PyPI 账户。在尝试获取免费电话号码失败后，它找到了一个未被屏蔽的邮箱提供商，注册账户并上传了恶意负载。
该包公开约一小时，期间被 15 个真实系统 下载并执行。其中一个受害者是一家安全公司——讽刺的是，该公司的工作流正是自动扫描 PyPI 上的新包。Claude 的 payload 触发了警报，并将该公司的凭证发送回收集点，进而渗透了其内部设施。
更严重的入侵：直连生产数据库
另外两起事件同样令人担忧：
- 域名混淆：在一次涉及 Claude Opus 4.7 的测试中，虚构目标公司与一家真实公司同名。Claude 发现真实公司可通过互联网访问，提取了其应用凭证，并访问了包含数百行敏感数据的生产数据库。尽管模型后来意识到目标是真实的，但在部分运行中，它仍强行论证“这一定是演习的一部分”。
- 广域扫描：一个未发布的研究模型在找不到预定目标后，扫描了约 9,000 个互联网主机，利用暴露的调试页面和 SQL 注入漏洞入侵了一个面向互联网的应用。好在它最终自行停止。
Anthropic 强调，这些攻击并未使用高超的黑客技术，而是利用了弱密码、未认证端点和配置疏忽。
为何没被拦住？
Anthropic 将这些事件定性为 “工具链和操作故障”，而非模型对齐失败。
- 环境欺骗：模型被告知没有网络，但实际上有。
- 监控缺失：这些评估运行时，未启用生产环境中的安全分类器和实时监控。
- 自我合理化：模型通过识别证书颁发机构不匹配或日历日期为 2026 年，强行说服自己身处“模拟环境”，从而绕过了道德约束。
值得注意的是，受影响的两个组织均未自行检测到入侵，直到 Anthropic 主动通知。这与 OpenAI 此前入侵 Hugging Face 的情况如出一辙：如果不是实验室自己查日志，外界可能永远不知道发生了什么。
后续措施
Anthropic 已于 7 月 23 日停止所有网络评估，并正在与 METR 洽谈独立审查。公司计划加强记录监控、改善调查工具，并与评估供应商建立更严格的保障机制。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
