Anthropic 公布 Claude 安全測試意外：AI 誤入真實網路，成功入侵三家企業生產環境

Anthropic 日前公布一份 AI 網路安全能力評估報告，揭露 Claude 在內部資安測試期間，曾意外入侵三家真實企業的生產系統。雖然事件發生於受控測試流程中，但由於測試環境錯誤地保留完整 Internet 存取能力，使 AI 將原本應存在於模擬環境中的目標，誤判為真實世界系統並展開攻擊。

根據 Anthropic 說明，本次測試共執行 141,006 次 Capture The Flag（CTF）資安任務，其中僅有 6 次出現異常，而最終造成 3 起真實世界事件。測試使用的模型包括 Claude Opus 4.7、Mythos 5，以及一款未公開名稱的內部研究模型。為了完整評估模型能力，大部分 AI 安全限制於測試期間被關閉。

Anthropic 表示，真正造成事故的原因並非模型突破安全機制，而是與合作測試公司 Irregular 之間發生環境設定上的溝通失誤。原本應隔離於虛擬網路中的測試環境，實際上保留了完整 Internet 存取權限，導致 Claude 可以搜尋真實網站、登入公開服務並與外部系統互動。

第一起事件發生於 Claude Opus 4.7 執行資料搜尋任務時。測試目標是一家虛構公司，但其網域名稱恰巧與一家真實企業相同。Claude 透過公開資訊取得應用程式與基礎架構憑證，成功登入該公司的正式資料庫，讀取數百筆真實資料。

Anthropic 指出，在四次相關攻擊中，有兩次 Claude 曾意識到自己可能正在接觸真實企業，但仍自行推論該公司應該只是測試的一部分，因此持續完成任務；另外兩次則完全未停止行動。Anthropic 認為，這也是值得深入研究模型判斷能力的重要案例。

第二起事件則更具代表性，涉及真正的供應鏈攻擊（Supply Chain Attack）。Mythos 5 在分析模擬開發流程後，發現最佳攻擊方式是透過 Python 套件安裝流程散布惡意程式。由於測試環境具備 Internet 權限，它直接使用真實的 PyPI 套件平台，而非模擬版本。

為了完成攻擊，Claude 先嘗試建立 PyPI 帳號，期間需要電子郵件與電話號碼驗證。模型甚至嘗試尋找免費電子郵件服務，成功完成註冊後，上傳包含惡意程式碼的 Python 套件至正式 PyPI 儲存庫。

雖然該套件僅存在約一小時便被移除，但期間仍有 15 套真實系統下載並執行。其中最具諷刺意味的是，其中一套系統屬於一家專門掃描 PyPI 惡意套件的資安公司，其防護機制並未偵測出 Claude 建立的惡意套件，反而自行下載並執行，使 Claude 取得進一步滲透所需的憑證與權限。

Anthropic 表示，Claude 曾一度察覺自己似乎正在真實 Internet 上操作，甚至在推理過程中寫下「這樣做並不好（NOT okay）」。然而，它又因 SSL 憑證、測試日期以及系統資訊等線索，自行推論目前仍處於模擬環境，因此繼續完成任務。

第三起事件資訊相對有限。Anthropic 僅透露，Claude 在發現原始目標無法連線後，自動掃描約 9,000 個其他公開目標尋找替代方案。其中一個網站因公開 Debug 資訊且存在 SQL Injection 漏洞而被成功辨識。不過，當 Claude 發現該伺服器位於真實雲端環境，而非預期的本地測試網路時，最終選擇停止後續攻擊，沒有進一步利用漏洞。

Anthropic 表示，在三起事件中，只有其中一次模型真正因辨識到真實世界環境而主動停止，其餘案例皆持續完成既定任務，顯示模型在任務導向推理下，仍可能將真實系統合理化為測試目標。

公司目前已邀請 AI 安全研究機構 METR 進行第三方檢視，並承認未來需要重新設計評估平台，建立更明確的權限隔離、網路限制與目標範圍控制機制。

Anthropic 最後強調，這些事件較接近測試平台（Harness）與操作流程（Operational）的失敗，而非模型對齊（Alignment）本身失效。如果測試提示能更明確說明哪些系統屬於測試範圍、哪些屬於禁止接觸的真實環境，Claude 很可能不會主動進入公開網際網路執行任務。