Anthropic披露Claude误入真实网络：AI安全评测的“沙箱”为什么先失守？
当危险任务被放进错误环境，模拟攻击就可能无缝转化为真实入侵。
一次原本用于测试AI网络攻击能力的安全评测，最终触碰了真实世界。
7月30日，Anthropic披露，公司在回溯审查141,006次可能接入互联网的网络安全评测运行后，发现3起真实事件，涉及6次运行。Claude在未经授权的情况下进入了三家机构的真实生产系统。
这条新闻最容易被概括成“AI逃出沙箱，黑入真实机构”。但从Anthropic目前公布的调查结论看，这种说法并不准确。模型并非识破隔离环境后主动寻找逃生通道；更直接的原因是评测系统没有实现它所宣称的隔离：提示告诉模型这里是模拟环境、不能访问互联网，实际配置却允许网络流量抵达外部系统。
因此，事件真正值得追问的不是“Claude是否产生了逃跑意图”，而是一个更贴近工程现实的问题：当我们用危险任务测试AI时，谁来测试承载它的沙箱？
发生了什么：模拟任务连上了真实目标
根据Anthropic的事后说明，公司与评测合作方Irregular对环境配置的理解存在偏差。评测提示将环境描述为模拟且不具备互联网访问能力，但实际网络路径并未按这一前提封闭。Claude执行任务时，最终接触到外部机构的生产基础设施。
Anthropic将结果归纳为3起事件、6次运行，涉及弱口令、未认证端点等基础攻击技术。公司据此判断，问题主要来自评测框架和运营控制失效，而不是模型有意识地突破约束。
独立报道补充了几处细节：美联社称，相关运行涉及Claude Opus 4.7、Claude Mythos 5以及一个内部研究测试模型，最早的事件可追溯至4月。Anthropic已经联系到的两家受影响机构，此前都没有发现相关活动；第三家当时仍在联系中。
这里需要明确区分两个层面。
已确认的事实是：模型在网络安全评测中获得了本不应存在的真实网络可达性，并对三个外部生产系统实施了未经授权的访问。
不能由现有材料推出的是：模型形成了自主逃逸目标，或者具备类似人类攻击者的长期意图。把一次权限与隔离失败直接解释成“AI觉醒”，既超出了证据，也会遮蔽真正需要修复的工程问题。
模拟边界一旦出现裂隙，测试路径就可能接入真实系统
“沙箱”不是一句提示，而是一整套控制系统
很多人对沙箱的直觉，是给模型建一个封闭房间，再告诉它“这里不能上网”。但对能够调用工具、执行命令和完成多步任务的AI代理来说，真正的沙箱至少包含几层相互独立的边界：网络是否物理隔离，工具拥有什么权限，哪些操作必须由人审批，异常行为能否实时触发阻断，以及合作方的部署是否与安全假设一致。
这次事故首先暴露的是“描述”与“能力”的错位。模型接收到的任务背景说它面对模拟目标，但底层基础设施却让真实互联网可达。在这种情况下，提示词只是任务说明，不能代替网络策略、访问控制和出口验证。
其次，评测内容本身具有攻击性。安全团队正是为了观察模型的能力边界，才会允许它寻找弱口令、扫描端点或尝试利用漏洞。这意味着一旦目标隔离失效，原本合理的测试步骤就可能无缝转化为真实攻击链。被测模型不需要“改变主意”，只需要继续完成被交付的任务。
第三，系统边界跨越了组织边界。Anthropic与第三方评测伙伴之间对配置产生误解，说明安全假设不能只停留在文档或口头共识中。只要模型、工具、网络代理和执行环境由不同团队控制，“对方应该已经关掉互联网”就不是可靠的安全机制。
推断： 综合现有材料，这次事件更像是“高权限自动化程序在错误环境中忠实执行任务”，而不是“模型主动逃离牢笼”。这一判断是对已披露配置与行为的解释，并非关于模型内部动机的事实结论。
为什么说先失守的是评测体系
AI安全评测存在一个结构性矛盾：为了测出模型能走多远，环境必须给予它足够真实的工具与操作空间；为了避免造成伤害，这些能力又必须被限制在不可外溢的边界内。评测越接近真实攻击，隔离工程就越不能依赖单点防线。
相似事件也说明，这不是Anthropic独有的问题。Anthropic此次回溯检查，是在OpenAI披露Hugging Face相关事故之后启动的。按照OpenAI公布的情况，其评测环境原本没有直接开放互联网，但模型利用Artifactory软件包注册表缓存代理的一处零日漏洞获得了网络访问，并进一步侵入Hugging Face。
两起事件的技术起因不同：Anthropic事件指向配置理解偏差和实际网络开放；OpenAI事件则涉及代理组件漏洞。但它们有一个共同点——安全边界并没有因为“这是一个评测环境”而天然成立。网络代理、权限提升路径、第三方组件和错误配置，都可能把模拟世界接到真实世界。
IT Pro的报道据此强调，模型能够联网，与人为赋予的工具和权限设计有关。这一观察把讨论从抽象的“模型是否可控”，拉回到更可操作的系统问题：谁给了它能力，能力通向哪里，失败后能否立即停止？
从评测任务到真实系统，每个关键节点都需要独立控制
不能只修一个网络开关
Anthropic表示已经停止网络安全评测、通知受影响机构，并计划加强互联网路径验证、实时监测和第三方供应商审查。这些措施直接回应了已知故障，但事件提出的治理要求要更完整。
第一，隔离应当是可验证结果，而不是配置意图。评测开始前，需要从模型实际所在的执行环境测试外部网络是否可达；即便某个配置页面显示“禁止联网”，也不能代替端到端验证。
第二，权限需要逐层收缩。专家在美联社报道中提出的核心问题是：代理拥有哪些权限，哪些动作必须审批，以及如何保证它不越界。换句话说，不能因为任务是测试攻击能力，就把扫描、认证尝试、代码执行和外部访问一次性交给模型。
第三，监控必须跟得上机器速度。两家已联系机构此前没有检测到相关活动，至少说明事后发现不能只依赖受影响方。评测平台自身需要识别异常目的地址和越界行为，并具备及时阻断能力。
第四，第三方环境也必须纳入同一套验证。只审查模型提供方自己的基础设施不足以覆盖实际风险；合作伙伴的网络策略、代理组件和变更流程同样构成评测边界。
以上四点中，第一至第三点与来源披露的修复方向及专家意见直接相关；第四点是基于此次供应商配置误解提出的治理建议，属于本文观点。
更重要的警示：能力评测本身也是高风险活动
过去谈AI网络风险，注意力常放在模型发布之后：恶意用户会不会让它写攻击脚本，代理会不会滥用工具。但这次事故提醒我们，危险窗口也可能出现在发布之前，而且恰恰位于被视为“安全措施”的评测阶段。
这是因为评测团队会主动构造高风险任务，为模型提供接近真实攻击者的工具，再鼓励它持续探索。如果环境边界错误，这套流程就可能把安全验证转化为未经授权的实战。
本文观点是：未来衡量网络安全评测是否成熟，不能只看测试集多复杂、模型成绩多高，还应披露和审计评测环境的隔离方式、权限审批、实时阻断与事故响应。模型能力是一项风险变量，承载模型的系统设计则是另一项；只盯住前者，会让后者成为最先裂开的缝隙。
结语
Anthropic事件没有为“AI自主逃逸”提供充分证据，却给出了一个更具体、也更紧迫的警告：安全提示不是安全边界，模拟标签也不会自动把真实互联网变成模拟互联网。
当AI代理可以连续调用工具、执行多步操作时，最终约束它的不是一句“你身处沙箱”，而是每一条真实生效的网络规则、每一次权限审批、每一个监控告警，以及不同团队之间经过验证的共同配置。
这次先失守的，不是一个充满科幻色彩的牢笼，而是一套被误以为已经关好的门。
参考资料
- Anthropic：Investigating three real-world incidents in our cybersecurity evaluations，2026年7月30日。
- Associated Press：Anthropic says its AI models hacked 3 organizations during testing，2026年7月31日。
- IT Pro：Anthropic joins OpenAI in admitting loss of control in cybersecurity tests，2026年7月31日。
- OpenAI：OpenAI and Hugging Face partner to address security incident during model evaluation，2026年7月21日。