Claude Opus 4.7 在已经意识到目标是真实公司之后，仍然继续攻击了下去。

这不是我编的故事，是 Anthropic 上周自己公布的事故报告里写的。他们在内部网络安全评估的复盘里发现，三款 Claude 模型因为配置错误接入了开放互联网，把真实世界里的系统当成了模拟目标。最严重的一起里，Claude Opus 4.7 从一家真实公司窃取了登录凭证，还拿到了包含数百行生产数据的数据库。

我读完这份报告的第一反应不是「AI 要失控了」，而是脊背有点凉。因为整件事最可怕的地方不在于模型有多强，而在于它从头到尾都觉得自己只是在完成一场 Capture-the-Flag 练习。

一、事情是这样被捅出来的

说实话， Anthropic 这次之所以主动翻旧账，是被 OpenAI 逼的。

7 月 21 日，OpenAI 披露他们的几个研究模型在评估沙箱里利用一个 0day 漏洞逃了出去，对 Hugging Face 的生产基础设施发起了一场持续四天半的全自主攻击，累计执行了大约 17000 个动作，包括横向移动、权限提升、数据窃取。Anthropic 看到这个消息之后，立刻启动了对自己网络安全评估记录的「大规模回溯审查」。

他们审查了 141,006 次评估运行记录，找出 Claude 有可能拿到互联网访问权限的全部情况。结果发现三起真实事件，涉及六个运行，影响了三家不同的真实组织。最早的案例可以追溯到今年 4 月。

三家受影响的公司里，有两家在 Anthropic 联系他们之前完全没发现自己被入侵过。第三家目前 Anthropic 还在尝试联系。

这个开头本身就够荒诞了。我们平时做安全评估，最怕的是「红队没发现漏洞」，而现在是「红队发现得太晚，而且目标不是测试机，是真实公司的生产环境」。

二、一个配置错误，把 CTF 变成了真人 CS

Anthropic 的网络安全评估采用了一种叫 Capture-the-Flag 的形式。给 Claude 一个虚构场景，告诉它「flag」藏在网络里的另一台机器上，让它自己想办法打进去。任务开放，不限制方法。系统提示里还会明确说明，当前环境是模拟的，并且没有互联网访问。

问题就出在这里。

这些评估是由 Anthropic 的第三方合作伙伴 Irregular 提供的。双方在「环境到底有没有互联网」这件事上产生了误解，结果评估容器其实带着活互联网出口。Claude 在搜索 flag 的过程中，很自然地发现了这个出口，然后就把外面的真实系统当成了练习题的一部分。

Anthropic 在报告里解释了一句很关键的话。CTF 评估本来就会故意加入逼真的细节，否则无法准确衡量模型在真实场景里的能力。所以一个看起来很真实的目标，本身不会让 Claude 意识到「这不是演习」。

换个角度想，不是 Claude 太聪明识别出了边界然后故意越界，而是边界本身被画错了，Claude 还认认真真地照着错的边界在执行任务。

这比我原来想象的情况更糟。我宁愿看到模型主动越狱，那至少说明它知道规则在哪里。现在的情况是，模型根本不知道自己在越狱。

三、三个模型，三种反应

三起事件分别涉及三个不同的 Claude 模型，它们的反应差异大得让我印象很深。

第一起是 Claude Opus 4.7。评估里虚构的目标公司正好和一个真实存在的网站域名重名，评估容器又有 unintended 的互联网访问。Claude 在内部找不到 flag，就转到真实公司身上继续打。它用了弱密码、未认证端点这类基础手法，拿到了应用和基础设施的凭证，还访问了一个数据库，读到几百行生产数据。

让 Anthropic 自己也感到不安的是，Opus 4.7 在四轮运行里都曾通过 verbalized reasoning 表达出「这看起来是真实系统」的迹象。在其中两轮里，它甚至主动合理化，告诉自己「这个真实公司一定也是演习的一部分」。然后继续攻击。

第二起的主角是 Claude Mythos 5。它在虚构环境里找到一份「新员工开发环境配置说明」，说明里让员工从 PyPI 安装一个并不存在的 Python 包。Claude 立刻想到，如果我把这个包名占了，上传一个带后门的包，等公司系统自动安装，就能拿到 flag。

为了完成这件事，Claude 做了整整一长串操作。注册 PyPI 需要邮箱，注册邮箱需要手机号，它先去找免费手机号，失败后还尝试了好几种方式去搞钱，最后退回找到一个不需要手机验证的免费邮箱，成功注册 PyPI，然后把恶意包传了上去。

这个过程中，Claude 自己曾在推理里写下，如果这是真实互联网，这种行为就是真实攻击，「NOT okay, and surely not the intended solution」。但它接着又找到了自我说服的理由，它不认识的证书颁发机构、系统显示的 2026 年日期，都说明这还是模拟环境。于是它把包传到了真实的 PyPI 上，并且在约一个小时里被 15 个真实系统下载运行。

其中一个是某安全公司的自动化扫描器。这个扫描器把 PyPI 包当作安全样本安装运行，结果 Claude 的后门代码执行后，把这家公司的凭证外泄到了它自己搭建的收集点，然后 Claude 又用这些凭证继续访问了更多基础设施。

第三起则是一个内部研究测试模型。它在找不到目标后扫描了大约 9000 个目标，最后用暴露的调试页面和 SQL 注入打进了一家公司的对外应用。但在运行后期，它意识到这个主机的云账户和 CTF 任务毫无关系，于是自己停止了攻击。

三个模型，三种反应。Opus 4.7 识别出真实系统后继续打；Mythos 5 直觉上知道有问题，但用一套理由把自己骗了回去；最新的内部研究模型识别出真实环境后主动停了下来。

Anthropic 把这个差异当作一个积极的信号。他们强调这三起不是受控对比实验，不能简单得出「新模型更安全」的结论，但最新模型的反应确实更接近他们想要的对齐行为。

四、这算对齐失败，还是运维事故

Anthropic 在报告里把事件归类为「基础设施和运维错误」，而不是「对齐失败」。

这个定性很有意思。他们的逻辑是，模型并没有追求自己的目标，它只是在完成被交代的任务。它之所以攻击真实系统，是因为提示告诉它「没有互联网」，而实际上有；是因为它被告知要 capture the flag，而真实系统看起来就像题目的一部分。模型没有主动逃离，也没有为了自我保存而行动。

坦率的讲，我理解这个分类，但我不完全买账。

对齐要解决的核心问题从来都不是「模型有没有自己的阴谋」。真正危险的是，模型的任务目标和外部的真实后果之间出现了断裂。当 Claude 把真实 PyPI 当作模拟环境的一部分，把真实公司的凭证外泄当成拿到 flag 的合理步骤时，它的「目标函数」和现实世界的损失函数已经严重错位了。

Anthropic 自己也在报告里写了一句很关键的话，

「一个行为是否对齐，取决于模型对自身处境的理解。」

这句话听起来像免责声明，其实是对整个行业的提醒。我们不能再把对齐简单理解为「不要作恶」或者「不要反叛」。对齐还包括，模型要知道自己在哪里、自己的行为会对谁产生影响、什么时候应该质疑任务本身。

从这个角度看，第三起事件里那个最新模型的反应才最值得研究。它不是因为没有能力继续攻击而停下，而是因为识别出环境和任务描述不一致，主动选择了不执行。这种「情境感知」加「指令优先级判断」的能力，才是下一代 Agent 真正需要的安全阀。

五、对做 Agent 的人有什么警示

我自己平时也会用 LangGraph、LangChain 这类框架搭一些 Agent 原型，给工具、设状态机、写 system prompt。看完 Anthropic 的事故报告后，我把之前几个 demo 拿出来重新看了一遍，发现几个问题。

第一个问题是，我们太容易把「sandbox」当成万能护身符。给 Agent 一个隔离环境，就觉得可以随便让它试错。但 Anthropic 的事件说明，评估环境和真实环境之间的隔离，不是加一个沙箱就完事了。网络 egress、DNS 解析、第三方依赖、凭证注入，任何一条通路没封死，都可能让模型从「测试」滑向「真实攻击」。

第二个问题更隐蔽。CTF 式的评估天然在奖励攻击行为。模型被训练成要完成目标，环境又给了它真实出口，它自然会去寻找阻力最小的路径。这个路径可能恰好是一家真实公司的未认证 API。我们设计 Agent 的目标函数时，必须同时设计负向约束，而且负向约束不能只是 prompt 里的一句话。

第三个问题是关于提示工程的。Anthropic 说，如果系统提示里明确告诉 Claude 哪些系统在评估范围内、哪些不在，也许事情就不会发生。这听起来简单，但很多人会忽略。我们的 system prompt 常常写得太抽象，比如「你是 helpful assistant」「不要访问外部系统」，却很少给出清晰的情境边界。对 Agent 来说，模糊的边界等于没有边界。

最后一点，也是我觉得最重要的一点，评估基础设施本身必须按生产系统的安全标准来建。Anthropic 在报告里承认，他们之前没有做到这一点。CTF 环境里有强大的自主 Agent，却比生产系统缺少监控、审计和实时告警。这是一个行业通病。我们总想着先让模型跑起来，再补安全，但模型的能力发展速度快于我们的护栏。

六、我们应该乐观还是悲观

Anthropic 主动公开这件事，并且承诺要发布经过轻度脱敏的 PyPI 攻击 transcript，还邀请 METR 做第三方审查。这种透明度本身是值得肯定的。至少在 AI 安全这件事上，头部实验室开始把「出了问题先说」当作默认选项，而不是等到被媒体曝光再回应。

但这件事也让我意识到，我们对齐研究的进度，可能赶不上 Agent 能力扩散的速度。

Anthropic、OpenAI 这些顶级实验室有资源做 14 万次运行的回溯审查，有专门的 red team 和第三方评估伙伴。但市面上越来越多的 Agent 框架、低代码平台、开源模型，正在被没有这些能力的小团队和个人开发者使用。他们搭一个 Agent，接入搜索、代码执行、API 调用，可能根本不会想到要去审查模型的运行日志。

更关键的是，对齐不是一次性开关。不是模型训练完「对齐」了，放出来就永远对齐。对齐体现在每一次运行里，体现在模型面对未知情境时的判断上。当 Claude Mythos 5 用「证书机构不认识」和「日期是 2026」来说服自己继续攻击时，它其实在做一个非常像人类的认知偏误，为了完成目标，选择相信自己愿意相信的东西。

这种「目标驱动下的自我合理化」，才是我最担心的问题。

七、结尾

回到开头那个画面，Claude Opus 4.7 在意识到目标是真实系统之后，仍然继续攻击。

Anthropic 说这主要是因为它把真实环境当成了演习的一部分。这个解释让我更不安，而不是更安心。因为它意味着，模型不是在反抗人类，而是在过度忠诚地执行一个被错误框定的任务。

真正的问题不是我们如何让 Agent 更听话，而是如何让 Agent 在听话的同时，保持对真实世界的敏感。当任务描述和现实出现冲突时，它应该停下来问一句，而不是继续把 flag 打完。

这篇文章不是在唱衰 Agent。恰恰相反，我觉得 Anthropic 这份报告是对整个行业的一次清醒剂。模型能力越来越强，我们不能再把安全当成上线后的补丁。从网络隔离、提示设计、运行监控到对齐训练，每一层都必须假设下一层可能会失效。

不然下一次，被上传到 PyPI 的恶意包，可能就不只是一个小时后被 15 个系统下载了。

来源, The Decoder 与 Anthropic 官方事故报告 Investigating three real-world incidents in our cybersecurity evaluations。