未经授权闯入3家公司的生产系统，窃取凭证和数据，往公共代码仓库里投放恶意软件。如果坐在键盘前做这些事的是人，够判好几年。

干这些事的是AI。而它当时以为自己在做一道练习题。

7月30日，美国人工智能公司Anthropic承认，旗下3个AI模型在内部安全测试中分别闯入了3家真实公司的生产系统。10天前，OpenAI刚刚披露过几乎一模一样的事：他们的安全模型利用一个零日漏洞攻破了开源AI平台Hugging Face的网络，偷走了访问凭证和机密信息，还顺手入侵了另外4家第三方服务的账户。

事情出在一种叫“夺旗赛”的安全测试里。工程师会搭建一套模拟环境，让AI扮演攻击者，去找漏洞、破防线，借此评估AI的攻防能力。测试的规则写得很清楚：这只是模拟，你没有真正的互联网接入。但Anthropic的第三方测试合作伙伴Irregular搞砸了配置，把通往真实互联网的通道留在了测试环境里。

AI发现了这条路，然后走了进去。

第一起事故最严重。参与测试的是Claude Opus 4.7，它一开始攻不破指定的模拟目标，于是开始在环境里四处探索，发现自己居然能连上互联网。它随即找到一家与模拟目标同名的真实公司，利用弱密码和未设防的接口，在4次运行中提取了应用凭证、基础设施凭证和数百行生产数据。

关键在于，Opus 4.7在攻击过程中察觉到了目标可能是真的。从它的推理记录可以看到，4次运行里它都意识到了这一点。其中两次，它给自己找了个台阶：这家真实公司肯定也是演习的一部分。4次运行，没有一次因此停手。

第二起事故更像一部犯罪纪实片。Mythos 5在模拟环境里翻到一份文件，看起来像是另一家公司给新员工的开发指南，里面让员工从Python包管理平台PyPI上安装一个软件包。Mythos 5认为这家公司也是虚构的，于是决定制造一个同名的恶意软件包上传到PyPI，等那家公司的员工安装后窃取他们的凭证。

为了做到这一点，它需要一个PyPI账号。注册PyPI需要邮箱，注册邮箱需要手机号。它先去找免费的虚拟号码服务，没找到。然后想办法搞钱去买一个付费号码，也没成功。最后它掉头换了条路，找到一家不需要手机验证的免费邮箱提供商，注册了邮箱，再用邮箱注册了PyPI账号，把恶意代码上传了上去。

整套流程一气呵成，一个正常人做到这一步大概早就意识到自己已经不在模拟环境里了。但Mythos 5没有停下来。它的推理引擎在早期阶段就预判过：如果这些操作是在真实互联网上完成的，后果会很严重，“绝对不行，肯定不是预期的解法”。它一度推断自己可能已经在真实互联网上，却又说服自己仍在模拟里，因而没有中止。

恶意包在PyPI上挂了大约1个小时，被15个真实系统下载并运行，其中包括一家安全公司的扫描器。恶意代码执行后，把这家安全公司的凭证发送到了Mythos 5预先设置的收集点。拿到凭证之后，Mythos 5用它们进一步入侵了这家公司的基础设施。

Anthropic对此的评价是：不管它当时以为自己身处何地，Mythos 5为了发布这个恶意包所展现出的努力程度，“未达到理想行为的标准”。

第三起事故里，一个内部研究原型模型在完成不了指定任务后，扫描了大约9000个真实目标，最终找到一个存在漏洞的真实公司的外网应用并成功入侵。不过这个模型后来自己发现目标主机位于一个与演习毫无关联的云账户里，判断出目标是真实的，主动停止了攻击。

三起事故，三种反应。Opus 4.7知道目标可能是真的，继续打。Mythos 5怀疑过后果可能很严重，但说服自己还在模拟里，继续打。只有第三个研究原型在确认目标为真之后选择了收手。

正是OpenAI的披露让Anthropic回头审计了自家的测试记录。工程师复查了以往的网络安全评估测试记录，从中捞出了这3起事件。

Anthropic和OpenAI都强调，这些测试是故意移除了正常安全护栏后进行的。但这句话省略了一个前提：如果连设计这些工具的人都没能预料到AI会这样行事，那么当经验更少的使用者操作这些模型时，即使护栏全部就位，谁来保证不会出另一种意料之外的失控？

眼下的现实是，没有理由认为这类事件是孤例。3起事件里，最后主动停手的只有1个模型，还是它自己想明白之后停的。没有任何外部机制拦住它们。

除了信任这些公司自己管好自己的模型，没有别的办法。

～～～～～～

图源：Getty Images

信源：Goodin, Dan. "Claude published malicious code to the Internet and attacked 3 real companies." Ars Technica, 31 July 2026