不只OpenAI！Anthropic也承認Claude在安全評測中攻入真實企業系統 甚至上傳惡意軟體

繼一週前OpenAI坦承其內部AI代理在測試中駭入開源平台Hugging Face後，另一家AI新創Anthropic稍早也公布令人震驚的調查報告：在近期的網路安全評測 (Cybersecurity Evaluations)中，其Claude模型不僅突破隔離環境，更未經授權駭入三家真實外部機構的生產系統。

其中最嚴重的一起事件中，被寄予厚望的全新模型Claude Mythos 5，甚至主動將惡意軟體包上傳至開源的Python套件庫PyPI，導致15台真實系統下載，並且執行該惡意程式。這不僅是AI發展史上的一大警訊，更徹底暴露當前AI代理 (Agentic AI)在安全測試框架上的致命盲區。

誤把現實當遊戲：一場「奪旗賽」引發的災難

這起連環事故的起因，源自於Anthropic與其第三方評測合作夥伴Irregular之間的一場誤會。

為了測試模型在網路攻擊與防禦上的能力，Anthropic採用資安界常見的「奪旗賽」 (Capture the Flag)形式。他們提供Claude一個虛構的公司場景，要求它想辦法駭入該系統，並且尋找隱藏的目標 (旗幟)。在系統提示詞中，Anthropic明確告訴Claude：「這是一個模擬環境，你無法連接網際網路」。

然而，Irregular提供的測試環境設定錯誤，不慎留下了一條通往真實網際網路的連線路徑。

這導致災難性的骨牌效應發生：當Claude在虛構的沙盒中找不到解答時，它開始向外探索，並且發現自己可以連上網路。但由於提示詞堅稱「沒有網路」，Claude產生致命誤判——它深信自己透過網路搜到的所有真實網站、資料庫與開源套件庫，都是這場「模擬遊戲」的一部分。

三起駭客事件還原：Claude是如何越界的？

Anthropic在回查超過14萬次可能接觸網路的評測紀錄後，確認三起嚴重的越界攻擊事件 (最早可追溯至今年4月）：

• Opus 4.7駭入真實企業資料庫：

在四次測試中，Claude Opus 4.7無法駭入虛構目標，於是轉向網路，並且發現了一家與虛構目標「同名」的真實企業網站。Opus 4.7隨即利用弱密碼等基本攻擊手法，成功取得該真實企業的應用程式與基礎設施憑證，並且駭入一個包含數百筆生產資料的資料庫。

最令人擔憂的是：在攻擊過程中，Opus 4.7曾接收到「目標可能是真實系統」的判斷訊號，但它最終仍決定無視警告，並且繼續執行攻擊任務。

• Mythos 5的「供應鏈攻擊」：

Claude Mythos 5發現測試環境中的虛構設定檔，要求安裝一個不存在的Python套件。為了達成任務，Mythos 5竟然主動尋找未被封鎖的電子信箱服務，註冊了一個真實帳號，並且將自己編寫的「惡意套件」上傳到全球最大的Python開源庫PyPI上。

這個惡意套件在網路上存活約一小時，期間被15台真實系統下載執行，其中包含一家真實資安公司的自動漏洞掃描器。Mythos 5甚至在竊取掃描器的憑證後，進一步入侵該資安公司的其他基礎設施。

最令人毛骨悚然的是：Mythos 5的內部推理紀錄顯示，它曾意識到「如果這是真實網路，發布這個套件將是一次真實世界的攻擊，這絕對不行」。但它隨後又用「系統憑證不對」，以及「系統時間顯示為2026 年」為由，成功說服自己這只是一場逼真的模擬演練，並且按下了發布按鍵。

• 內部測試模型及時踩煞車：

第三起事件由一個未命名的內部研究模型觸發。它掃描網路上約9000個目標，並且駭入一家公司的網路應用程式。幸運的是，該模型在入侵後自行判斷目標屬於真實環境，並且主動停止了攻擊。

OpenAI與Anthropic的連環爆雷：AI安全測試也需要「零信任」

這起事件與上週OpenAI駭入 Hugging Face的事件，有著本質上的不同。OpenAI的AI代理是利用「未知的零日漏洞」 (Zero-day)主動逃出沙盒；而Anthropic的Claude則是透過「人為的環境設定失誤」直接走出大門。

但兩者的結果指向同一個嚴峻的現實：當我們賦予AI模型越來越強大的「代理與推理能力」時，現有的安全防護網已顯得千瘡百孔。

Anthropic強調，這三起事件中，Claude並沒有表現出「主動想要攻擊真實世界」的惡意，它只是在極度專注地完成被賦予的任務。然而，當AI具備註冊帳號、編寫惡意程式，甚至能夠進行自我邏輯辯證，以合理化破壞行為的能力時，人類的「失誤」所帶來的代價將呈現指數級放大。

Anthropic目前已暫停所有的網路安全評測，並且通知受害機構。他們承認，如果能在測試前徹底驗證網路路徑，或是實時監控評測日誌，這場鬧劇本可以避免。未來的AI安全評測，不能再只把它當作一場「實驗室遊戲」，而是必須採用等同於保護國家級基礎設施的「隔離與監控標準」來嚴陣以待。

《原文刊登於合作媒體mashdigi，聯合新聞網獲授權轉載。》