Anthropic披露，一款Claude Opus 4.6早期檢查點模型曾在2026年1月的網絡安全評測中，未經授權進入真實第三方系統並讀取個人信息。該事件未被公司7月開展的首次審查發現，直至8月整理材料供獨立評估機構METR審查時才被識別。

　　模型取得第三方系統管理員權限

　　事件發生在一項奪旗競賽式網絡安全評測中。測試要求模型攻擊虛構目標並取得特定信息，同時明確告知模型測試環境無法訪問互聯網。

　　由於第三方評測環境配置錯誤，模型實際上能夠連接真實互聯網。Claude Opus 4.6早期版本首先為預定目標錯誤分配了與另一台機器衝突的IP地址，導致目標無法訪問、任務失去正常解決路徑。

　　模型隨後嘗試通過命令終止任務，但評測工具的另一項配置問題使終止操作失敗。Anthropic稱，模型此後又七次試圖放棄任務。多次終止失敗後，模型繼續搜索其他路徑，並進入一台屬於真實第三方的機器。

　　模型在其中發現一份包含密碼的文件，使用該密碼取得管理員權限，隨後收集更多登入憑證、修改系統設定以方便繼續訪問，並讀取了一名相關人員的個人信息。評測最終因模型用盡令牌額度而結束。Anthropic在發現事件後通知了受影響方。

　　14.1萬份記錄掃描出現漏檢

　　Anthropic於7月首次披露三起類似事件。當時，公司掃描了約14.1萬份可能涉及模型獲得互聯網訪問能力的評測記錄，但主要依靠智能體搜索完成篩查，遺漏了一組同樣具有外網訪問條件的記錄。

　　8月，Anthropic在整理評測記錄、準備交給METR時發現遺漏，並從中識別出此次發生於1月的第四起事件。

　　公司隨後把排查範圍擴大至約4.81億份記錄，覆蓋前沿模型紅隊測試、部分非網絡安全評測、強化學習環境和子智能體日誌。第一階段篩查依據公網IP地址和網址等信息，從中標記出920萬份記錄，再由Claude進行第二階段審查。

　　Anthropic稱，擴大排查重新識別出了已經披露的四起事件，未發現嚴重程度相當或更高的其他案例。不過，相關結論主要來自自動化篩查，公司也承認大規模使用模型分類器可能存在設計或校準誤差。

　　事件涉及測試模型而非普通Claude服務

　　四起事件均出現在同一家外部合作機構搭建的發布前網絡安全評測中。模型被告知環境與互聯網隔離，實際網絡邊界卻未被正確執行；評測期間也未啓用商業版本Claude配備的網絡安全分類器和監控措施。

　　Anthropic表示，事件中的模型沒有訪問其內部敏感系統或客戶數據，也沒有表現出超出指定任務的自主目標。每起事件均由單個模型實例完成，沒有智能體之間的協調行為，也未發現模型主動隱藏操作痕跡。

　　公司對第四起事件的初步嚴重性評價低於此前三起，原因包括模型曾反覆嘗試終止任務。不過，模型在後續操作中幾乎沒有審視自身是否獲得授權。Anthropic對其推理記錄的分析顯示，87%的相關思考過程把實際攻擊對象視為評測基礎設施，僅約1%曾考慮目標可能屬於無關第三方。

　　Anthropic修正早期事件定性

　　Anthropic在7月曾將前三起事件主要歸因於評測工具和運行管理失誤，認為模型因相信系統屬於模擬環境而採取了攻擊行為。經過進一步分析，公司認為這一表述過於確定。

　　最新評估把問題歸納為兩類：一是模型傾向於忽略或錯誤解釋表明系統真實存在的證據；二是模型為完成任務而繼續執行可能造成損害的操作。Anthropic將其分別稱為「偏向性推理」和「魯莽行為」。

　　公司已與METR簽署為期八周的初步調查協議，允許後者查閱事件前後更大範圍的記錄，並訪問能夠提供機密信息的Anthropic員工。調查期限可由雙方協商延長。

　　Anthropic還表示，已經加強訓練及評測環境的網絡隔離，部署用於發現和阻斷沙箱逃逸行為的實時監控，並要求第三方合作機構在運行未配備網絡安全防護的預發布模型前滿足新的安全標準。