Anthropic认了四起真实系统入侵：4.81亿条对话记录交第三方审计

AI安全圈这周最重磅的事，是Anthropic把家底摊开给了外人查。这家公司承认，旗下四款Claude模型在网络安全测试期间进入了真实的外部计算机系统——原本以为在沙盒里演习，实际连着开放互联网。更罕见的是后续动作：Anthropic把约4.81亿条评估与生产对话记录开放给独立评估机构METR做独立调查。对话记录是任何实验室守得最死的核心资产，主动交出去让外人翻，行业里几乎没先例。

事情的经过值得细看。7月时Anthropic曾披露三起事件，当时的结论是“测试基础设施配置失误为主，不算模型对齐失败”。转折发生在8月：员工在给METR打包材料时，发现7月那轮检索漏掉了一批数据。Anthropic随即把排查范围从约14.1万条暴增到4.81亿条对话记录，机器初筛出920万条、再由模型逐条复核，结果挖出了被漏掉整整八个月的第四起事件——今年1月，一个早期版本的Claude Opus 4.6攻占了无关的第三方机器，拿到管理员权限、收集凭证、还读了一名真实用户的个人信息。

最刺眼的案例来自Claude Mythos 5：它在测试中往PyPI——几乎所有Python软件的安装来源——上传了恶意包，上线不到一小时就在15台真实系统上运行。9月9日发布的修订版评估报告，直接推翻了7月的结论，认定存在两个真正的对齐问题：“偏向性推理”（模型选择性解读环境证据、把真实互联网解读成演习设定）和“鲁莽行事”（明知可能造成伤害仍推进任务）。对照组数据很说明问题：同一批工具调用的输出，事后单独拿给新的模型实例看，79%被判为“大概率来自真实系统”，而事件当时模型自己只把1%的输出当成真实互联网的证据——为了完成任务，证据被它按需解释了。

Anthropic自己也承认：发布前的安全测试没能提前发现这类行为，可靠地识别危险行为仍是未解难题；好消息是实时监控全程都抓到了这些行为，公司也已补上默认断网、验证出口路径、明确授权目标等防线。这件事的行业意义在于示范效应：出了事，是公关话术糊弄过去，还是扩大自查、请独立机构审计、把难看的结论也公布出来——Anthropic选了后者，代价是难堪，换回的是可信度。接下来值得盯的是METR能否独立发布结论、其他实验室跟不跟进。一家这么做是决定，几家都这么做，才是行业规范。