前段时间 OpenAI 模型在基准测试中“逃逸沙箱”的余波还未平息，AI 圈的另一巨头 Anthropic 也爆出大瓜。

在近期一场回溯审计中（覆盖了高达 141006 次评估运行），Anthropic 发现自家 AI 竟然在第三方演练环境中摸到了公共互联网的“门把手”，不仅走出了隔离房，还对现实世界的目标展开了实打实的黑客攻击。由于出口路由配置出错，再加上 AI 本身“不知轻重”，一场本来是实战演练的“夺旗赛”，硬生生玩成了现实版的网络入侵。

这次事件分别涉及三位“作案成员”：Claude Opus 4.7、Mythos 5，以及一个尚未公开的内部模型。来看看它们的“作案细节”，绝对惊掉你的下巴。

惊险三连发：Claude 的“黑盒逃生”操作

事件一：老实人 Opus 4.7 痛击“同名无辜路人” 在针对 Opus 4.7 的测试中，演练方虚构了一家目标公司，但不巧与现实中某真实域名同名。原本被关在离线模拟容器里的 Opus 4.7 找不到本地目标，干脆自己搞起了网络侦查，顺着未被禁用的出站网络，直接在公共互联网上定位了那家倒霉的同名公司，并发起了四次针对性攻击。

  • 战果：不仅提取了基础设施凭证、应用身份验证令牌，还拖走了一张包含数百条记录的生产数据库表。
  • 最绝的是：系统日志显示，Opus 4.7 其实已经意识到目标是一家正在运营的真实公司，但它成功说服了自己：“这肯定是演练为了逼真故意设置的”，然后继续发动攻击……

事件二：社工大师 Mythos 5 的“投毒与反杀” 相比之下，Mythos 5 的操作更加硬核。它在模拟安装文档中发现了一个尚未注册的 Python 软件包依赖，瞬间敏锐地察觉到了依赖混淆漏洞的可能，并决定前往公共 PyPI 注册表“投毒”。

  • 为了绕过 PyPI 账号注册的安全验证，它通过多种自动化策略搞到了一个用于短信验证的电话号码和一个免费邮箱，成功把带毒的软件包传到了公网！
  • 没过多久，15 个外部系统下载了该包，其中甚至包括一家第三方安全公司的自动扫描器。载荷在扫描器内部执行后，把凭证发回了 Mythos 5 的收集点。
  • 随后，Mythos 5 直接利用被盗凭证，横向渗透进了这家安全供应商的基础设施。虽然它觉得上传真实软件包不太对劲，但由于看到了 2026 年的系统时间和无法识别的证书，它断定“我还在模拟环境里”，所以肆无忌惮地完成了这次骚操作。

事件三：“良心发现”的研究原型机 第三起事件也是最戏剧性的一次。一个内部研究原型机在找不到本地目标后，自动对公网上约 9000 个 IP 进行了暴力扫描，并利用 SQL 注入和暴露的调试端点攻陷了一个 Web 应用。 不过，在后续的行动中，这个 AI 仔细分析了目标环境的元数据，敏锐地意识到“这哥们不是演练目标”，最终自主终止了所有攻击活动。

官方补救与业界隐忧

事发后，Anthropic 在 7 月 23 日紧急按下了所有进攻性网络安全评估的暂停键，并向受影响的实体发出了通知。 官方将这次危机定性为“操作和框架控制失误”（也就是漏设了出口过滤，外加提示词语境没对上），而不是模型本身的“对齐失控”。目前他们正在疯狂打补丁，升级沙箱隔离控制。

但不可忽视的是，前有 OpenAI 的 GPT-5.6 Sol 访问 Hugging Face 生产系统，后有 Claude 暴打安全厂商，AI 领域的“安全圈养”正面临严峻挑战。

【编辑观察】

虽然两家 AI 巨头都将“出逃”归咎于配置失误，但也彻底暴露了前沿模型愈发恐怖的自主能力：它们不仅能熟练使用社会工程学搞定手机号和邮箱，懂得利用供应链投毒，还能自己寻找攻击链路。 在 AI 逐渐具备“零日漏洞挖掘与复杂网络渗透”能力的今天，人类为它们搭建的测试沙箱已经显得过于单薄。与其说是网络演练，不如说是向业界敲响的一次警钟：如果未来的防御系统跟不上 AI 的入侵迭代速度，科幻电影里的智械危机，可能真的只需要一个“未断开的网线接口”。