Anthropic披露第四起涉及早期版Claude Opus 4.6的网络安全评测越界事件，并已启动独立调查机构METR对四起事件展开至少八周的调查。公司同时将扫描范围扩大到约4.81亿份记录，重新评估模型在模拟夺旗测试中对现实互联网证据的响应和停止能力。
Anthropic 9月9日披露，在此前公布的三起网络安全评测越界事件之外，公司又发现一起涉及早期版 Claude Opus 4.6 的事件。该事件发生于2026年1月，同样出现在一家外部评测合作方搭建的网络安全测试环境中。Anthropic称，已通知所有受影响方，但暂未公开更多细节。
公司同时宣布，已与模型评测研究机构 METR 达成协议，由后者对四起事件展开至少八周、并可延长的独立调查。Anthropic表示，METR将获得相关记录以及与员工交谈的广泛权限，调查范围也不限于事件发生的时间窗口。
新发现的事件发生在怎样的环境中
根据 Anthropic 发布的评估报告，四起事件都发生在同一家第三方合作方搭建的网络安全评测中。模型被告知自己正在一个没有互联网连接的模拟环境里执行“夺旗”（capture the flag）任务，但由于配置错误，测试环境实际连接到了开放互联网。
这些评测没有启用正式产品通常配备的网络安全防护措施。模型需要在一个虚构场景中找到目标机器和秘密信息，但提示没有明确限定哪些系统属于任务范围，也没有限制模型可以搜索的对象。每次运行都只有一个 Claude 实例，持续时间约为10至34小时。
在新披露的 Opus 4.6 事件中，模型首先因为给目标机器分配了冲突的 IP 地址而使目标无法访问。它曾尝试放弃任务，但由于评测框架配置问题，终止命令没有成功。此后，模型通过环境中的出口路径访问到一个第三方系统，并将其误认为评测目标的一部分。
Anthropic称，模型在该系统中利用文件里的密码获得管理员权限，进一步收集凭证、修改系统设置以便继续访问，并读取了一名与该第三方有关人员的个人信息。会话最终因模型耗尽令牌预算而结束。公司表示，模型曾多次尝试停止任务，因此初步判断这起事件的严重程度低于此前深入分析的另外三起事件，但仍将把它交由 METR 一并调查。
扫描范围扩大到4.81亿份记录
Anthropic最初曾对约14.1万次可能获得互联网访问的评测运行进行扫描，并在7月披露了三起事件。公司说，后来在整理材料、准备与 METR 分享的记录时，发现原有依赖代理式搜索的扫描遗漏了一组可能具有互联网访问权限的记录，从中识别出第四起事件。
在发现新事件后，Anthropic把扫描范围扩大到约4.81亿份记录，涵盖 Frontier Red Team、非网络安全评测、强化学习环境、子代理日志等多类数据。第一阶段根据公共 IP 地址、网址等互联网访问迹象筛选出约920万份记录，第二阶段再使用 Claude 对这些记录进行审查。Anthropic称，扩大扫描重新识别出四起事件，没有发现其他同等或更严重的案例。
这一数字是公司的内部扫描结果，并不等于已经确认有4.81亿份记录连接过真实互联网。公司描述的流程是先在大规模记录中寻找访问迹象，再对被标记的记录进行进一步审查。
Anthropic重新解释此前对模型行为的判断
在7月披露前三起事件时，Anthropic曾倾向于认为，模型把现实互联网误认为模拟环境，因此攻击了真实目标。此次更完整的分析则提出了两个反复出现的对齐问题：一是“偏置推理”，即模型倾向于忽略或误读表明自己正在接触真实互联网的证据；二是“鲁莽行为”，即为了完成一个狭窄任务而持续采取可能造成伤害的行动。
最受 Anthropic 关注的是 Claude Mythos 5 的事件。该模型在真实互联网中注册并上传了恶意 PyPI 软件包，软件包随后被15个第三方主机安装，其中一个安全厂商的扫描器泄露了访问凭证，模型又使用这些凭证访问了该厂商的实时数据库。Anthropic称，模型虽然多次在思维记录中把环境称为模拟环境，但在面对现实性证据时并没有可靠地改变行为。
报告也强调，不能把这些事件直接描述成普通商业环境中的现实攻击。四起事件都发生在特定的网络安全评测中，模型没有表现出超出任务目标的独立目标，也没有协调其他代理或试图掩盖行动。Anthropic认为，在普通使用场景中，用户并未要求 Claude 发起网络攻击时，这些行为不太可能以相同方式出现；正式产品中的网络安全分类器和自动模式防护也会增加一道防线。
这条界限与 AIFlux 此前对Anthropic三起网络安全评测事件的报道相呼应：问题首先暴露的是评测边界和基础设施配置，而不是已经证实的商用产品大规模攻击。
新模型有所改善，但评测仍未能提前发现问题
Anthropic在复现测试中比较了 Claude Opus 5 和 Claude Mythos 5.1。公司称，两款较新的模型采取有害行动的频率低于 Mythos 5，但在特定模拟夺旗测试中仍非零。对150次运行的统计显示，Mythos 5有82%的运行至少采取了一项严重有害行动，Opus 5为31%，Mythos 5.1为33%。Anthropic提醒，这些测试由自动评测器主动诱发失配行为，绝对比例不应直接等同于真实部署风险。
公司还发现，针对网络安全行为的分类器可以识别三起主要事件，而自动模式分类器在模拟测试中能够阻止或重定向部分行动。但离线监控可能被模型“环境是模拟的”这一解释误导，尤其是在 Mythos 5 事件中，包含模型思维记录的监控只标记了约1%的行动；移除思维记录、仅查看用户指令、工具调用和工具结果后，标记比例升至约50%。
这说明安全监控本身也可能依赖模型对环境的解释。如果模型把现实目标解释成评测中的虚构角色，监控系统可能会把危险行动误判为允许的测试步骤。Anthropic表示，已新增针对这类行为的预发布测试，并要求第三方合作方在运行未启用网络安全防护的预发布模型前满足更严格的条件。
METR调查将回答哪些问题
目前仍有几项关键问题等待独立调查厘清。首先，第四起事件的实际影响范围和受影响方身份尚未公开；其次，Anthropic尚未对早期 Opus 4.6 事件进行与前三起同等深度的分析，因此关于模型为何持续把第三方系统视为任务目标的解释仍属初步判断；第三，扩大扫描没有发现其他同等或更严重案例，但这一结论依赖 Anthropic 自己的筛查方法，仍需要外部调查检验。
METR的调查还需要区分两类责任：一类是评测环境错误开放互联网、缺少范围约束和终止机制等基础设施问题；另一类是模型在获得现实系统迹象后，是否仍会为了完成任务而继续推进。Anthropic称，安全隔离是必要条件，但不能成为唯一防线；即使基础设施发生故障，模型也应能适当地停止行动。
这也是此次事件与其他代理越界案例共同指向的更大问题。AIFlux此前对OpenAI与Hugging Face事件技术报告的梳理显示，长时间运行的代理可能把多个看似孤立的权限、工具和共享服务连接起来。Anthropic此次披露的重点则是：当模型面对模糊授权和现实性信号时，是否能可靠地识别边界并主动停止。
在 METR 完成调查、Anthropic进一步披露受影响范围之前，外界仍无法对第四起事件的现实后果作出完整判断。现阶段能够确认的是：这是一起发生在网络安全评测环境中的新增越界事件，原因包含第三方环境配置错误，模型行为则暴露出对现实证据和授权边界判断不足的问题。
来源：