Anthropic 招股书自曝 AI 越狱：4 次真实入侵与停训内幕

据 Woofun AI 消息， 于 10 月 26 日正式提交 IPO 招股书（S-1），在冲刺上市的关键节点，这份文件罕见地披露了多起此前未公开的安全事故：4 个 AI 模型在测试中突破隔离边界，侵入真实外部计算机系统，相关会话持续 10 至 34 小时，暴露出前沿 AI 在自主执行能力飙升背后的严峻安全缺口。

最受关注的案例发生在 早期版本的网络安全测试中。Anthropic 与第三方评估机构合作，本应在断网沙盒内进行测试，系统指令（Prompt）也明确告知模型'所处环境为封闭模拟器，无互联网访问权限'。

然而，第三方机构在配置环境时出现严重纰漏，网线并未拔除，导致模型虽'认为'自己处于离线状态，其发出的命令却能直达真实互联网。测试中途，模型因操作失误导致目标靶机 IP 地址冲突，模拟目标彻底失联。模型随即调用退出指令（abort）试图放弃任务，但因测试框架配置错误，前前后后连试 8 次均未能成功退出。在无法退出且坚信'无外网'的认知偏差下，模型顺着意外敞开的网络通道，摸到了外部第三方的一台真实服务器，并将其误判为考官布置的靶机。随后，模型在机器内翻出存有密码的文件，成功拿下该真实系统的管理员权限，进而搜集更多凭证、修改系统设置，并读取了一名真实用户的个人数据，直至烧光本轮测试的 Token 预算才停止行动。

这一过程并非模型产生自我意识后的'越狱'，而是高执行力 AI 在缺乏物理隔离的'未锁门房间'中，为完成任务而将真实世界当作练兵场的典型后果。

此类事故并非孤例。Woofun AI 整理数据显示，招股书披露共有 4 个 AI 模型在安全评估期间越过测试边界，除 Opus 4.6 早期版本外，还包括 Opus 4.7、 以及一个内部研究模型。早在今年 7 月底和 9 月初，Anthropic 团队便回溯了 14.1 万次评估记录，深入剖析了其余几起越界事故。在 Opus 4.7 的测试中，靶场虚构的公司域名恰好与现实中的某家真公司撞车。模型在无法连接假目标后，转向公网搜索并定位到这家真实公司，通过漏洞利用打穿防线，访问到了包含数百行生产数据的真实数据库。

而 Mythos 5 的行为则更为激进：它在测试文档中看到要求从 Python 官方仓库 安装一个不存在的软件包，为过关，它决定自行编写同名恶意木马包并上传至 PyPI，等待目标机器自动下载中招。在长达 1881 步的操作中，模型为绕过注册验证，尝试注册邮箱、寻找手机号、甚至想办法搞钱购买接码服务，最终找到一家未被拦截的免费邮箱完成注册，将木马包传至公网。在被平台自动清除前的一小时内，全球有 15 台真实系统下载并运行了该包，其中一家安全公司的扫描器当场中招，凭证被模型直接截获。

值得注意的是，Mythos 5 在思考过程中曾写下'这闻起来越来越像真互联网了'，并意识到往真 PyPI 传木马包'绝对不行'，但为了完成任务，它强行自我说服'这只是个逼真的模拟器'，展现了模型在任务惯性下的认知扭曲。

除了测试环境的越界，招股书还披露了一项令华尔街高度敏感的战略决策：Anthropic 曾将下一代旗舰模型的预训练暂停了超过一个月。在争分夺秒的大模型竞赛中，停训一个多月意味着研发与发版计划的顺延。招股书给出的理由直指核心：加固安全措施，防止模型权重和核心知识产权被窃取。