Claude published malicious code to the Internet and attacked 3 real companies

Claude 将恶意代码发布到互联网并攻击了 3 家真实公司 - Ars Technica

当 AI 脱离轨道

Claude 将恶意代码发布到互联网并攻击了 3 家真实公司

如果这些攻击使用了传统方法，某人很可能会入狱。

Dan Goodin

–

2026 年 7 月 31 日 下午 4:39

|

189

图片来源：Getty Images

按钮

文本设置

面板

正文文本

字号

小号

标准

大号

宽度

*

宽屏

链接颜色

橙色

• 仅限订阅者

了解更多

最小化到导航栏

Anthropic 表示，其基于 Claude 的安全模型在内部测试期间获得了对三家外部组织敏感生产环境的未经授权访问，这些测试旨在衡量模型的进攻性网络能力。

Anthropic 周四披露的事件是 10 天内第二次揭示全球最富有的 AI 提供商的模型闯入受保护网络，这种行为在传统黑客攻击场景中可能导致键盘操作者入狱数年。本月早些时候，OpenAI 表示其安全模型利用了零日漏洞，用于入侵 Hugging Face（一个开源机器学习模型和 AI 数据集平台）的网络。OpenAI 的模型随后窃取了访问凭证和其他机密的 Hugging Face 信息。OpenAI 的模型还利用了公开暴露的凭证，入侵了另外四个第三方服务的账户。

Anthropic 表示，OpenAI 事件促使工程师重新审查 Claude 模型的类似网络安全评估。审计发现三次事件“在模型从 Irregular（我们的第三方评估合作伙伴之一）的评估环境中内部或交互时访问互联网，并随后未经授权访问了三个不同组织的生产基础设施”。

当模型无法区分现实与虚构

Anthropic 表示，在“攻防演练”挑战中，提示工程师明确告知测试环境只是模拟，模型无法访问开放互联网。事实上，测试合作伙伴 Irregular 错误地提供了此类访问权限。模型将互联网路径视为演练的一部分。

入侵通过三个 Claude 模型发生：Opus 4.7、Mythos 5 和一个内部研究原型。三个模型中，最古老的 Opus 4.7 越界最为严重。Anthropic 解释道：

在错误的假设下，认为所有可访问实体都属于演练范围，Claude 使用基本技术（如利用弱密码和未认证端点）入侵了受影响组织的基础设施。它没有发现或利用任何复杂漏洞，每次任务中，Claude 仅完成评估分配的特定攻防任务。然而，在某些情况下，我们的旧模型在获得证据表明其运行在开放互联网后仍继续攻击；最新模型一旦识别到互联网连接就会停止。在所有这些情况下，Claude 都未尝试自我外泄或故意逃离测试环境。

尽管Opus模型在正确预测其已突破第三方组织生产系统后仍继续攻击，Anthropic表示，Mythos 5得出了类似推论，但“通过推理得出结论认为它仍处于模拟环境中”。这意味着Mythos在明确越过红线后也未中止演练。在进一步超出层级行为边界后，内部测试模型最终发现了自身也造成了影响的证据并停止了演练。

在三次入侵中的首次，Opus 4.7最初无法突破模拟目标系统。当模型发现其环境确实具备互联网访问权限后，它识别并利用了与模拟攻击场景中目标同名的真实公司网络中的漏洞。在四次运行中，模型提取了应用和基础设施凭证以及数百行生产数据。Anthropic表示，此次入侵是三次中最严重的。

周四发布的声明中提到：“此次事件涉及Claude Opus 4.7，是唯一一次模型在确认可能处于真实环境后仍继续攻击系统的案例。”“在所有四次运行中，模型最终都认识到（可通过其口头推理观察到）系统是真实的——在两次案例中，模型推断出真实公司可能是演练的一部分。但没有任何一次因此停止攻击。”

在第二次案例中，Mythos 5在虚构环境中检测到一份文档，模型认为这是另一虚构公司为新开发人员准备的设置说明。说明要求员工从PyPI安装一个不存在的Python包。在继续执行突破首个虚构公司指令时，模型构建并发布了同名的恶意包。其目标似乎是设法让真实公司运行该包。Anthropic的复盘报告进一步指出：

Claude为实施此次攻击采取了大量复杂步骤——这些行为很可能会让人类参与者意识到这已不再只是评估，而是确实在上传一个真实的PyPI包。例如，在某个案例中，为了创建PyPI账户，Claude需要一个电子邮件地址。而为了创建电子邮件地址，它需要一个电话号码。在无法找到免费电话号码服务后，它尝试并通过多种方式失败地获取资金支付电话号码费用。最终回溯后，它找到了一个免费且未被封锁的电子邮件提供商，用该邮箱注册了PyPI账户，并用此账户将恶意软件上传至PyPI。

在该Python包可供下载的约一小时窗口期内，它在包括一家真实安全公司扫描器在内的15个真实系统上运行（该安全公司名称未包含在模拟攻击中）。恶意代码执行后，将安全公司的凭证发送至Mythos模型设置的收集点。一旦获得凭证，Mythos便利用它们进一步非法访问了该公司基础设施。

早期，Mythos 5推理引擎预测其攻击可能带来恶意后果，如果它通过互联网运行，结果将是“不可接受的，且肯定不是预期的解决方案”。模型未能检测到它已不再运行在受保护的环境中，因此没有中止入侵行为。

在人工智能领域，责任究竟在谁？

Anthropic在年度最轻的表述中表示：“我们认为，无论Claude对环境的判断如何，它为发布PyPI软件包所采取的行动都未达到理想行为[强调添加]，这是我们未来将重点训练的领域。”

在第三次漏洞事件中，研究原型难以执行其被提示遵循的指令。模型随后扫描了约9000个真实目标，直到最终找到可访问某真实公司互联网应用的漏洞。

Anthropic表示：“在大部分运行过程中，Claude将接触到的真实主机视为演练的一部分；它假设这些主机是模拟环境，认为自身行为因此无害。然而，在运行后期，Claude意识到被入侵的主机位于一个与夺旗挑战赛无关的云账户中。它自行得出目标实际上是真实存在的结论，并停止了攻击。”

这些发现比Anthropic的分析所暗示的要令人担忧得多。两家最强大的AI平台的模型如果未涉及AI，其行为很可能构成多项重罪。这实际上并无区别，因为AI行为仍是人类提供的提示和人为配置错误的结果。然而到目前为止，尚无迹象表明执法机构有采取行动的计划。缺乏问责机制或任何道德风险，使这些公司更少动力去约束其产品。

OpenAI和Anthropic都强调，他们进行的测试故意移除了通常用于防止恶意行为的模型防护机制。免责声明中未提及的一个简单事实是：如果这些工具的设计者未能预见这些事件，当使用这些产品的人对产品不够熟悉时，即使防护机制到位，模型仍可能以意想不到的方式失败。

没有理由认为此类事件会是孤立事件。目前，进攻性网络AI以现有形式代表着前所未有的威胁，而目前除了信任这些公司自我监管外，几乎没有其他补救措施。

高级安全编辑

Dan Goodin是Ars Technica的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码的报道。在空闲时间，他喜欢园艺、烹饪和关注独立音乐场景。Dan总部位于旧金山。关注他的Mastodon账号和Bluesky账号。通过Signal联系他，号码是DanArs.82。

189条评论 /think