Anthropic招股书曝出惊人细节

作者：Biteye 核心贡献者 Denise

AI 原本只是在做一场模拟安全测试，最后却拿到了真实系统的管理员权限。

它在机器里翻出存好的密码，顺藤摸瓜拿到更多访问凭证，修改了系统设置，甚至读取了一名真实用户的个人数据。

这起事故就白纸黑字写在 Anthropic 刚刚提交的 IPO 招股书（S-1）里。

10 月 26 日，Claude 背后的 Anthropic 正式交表冲击上市。据路透社报道，这份招股书一口气披露了多起此前未公开的安全事件：先后有 4 个 AI 模型在测试中突破隔离边界，摸进了真实的外部计算机系统，相关测试会话持续了 10 到 34 个小时。

同一份文件还承认，为了防止模型权重和核心知识产权被盗，Anthropic 曾把下一代旗舰模型的预训练硬生生暂停了一个多月。

一家常年把“AI 安全”挂在嘴边的公司，在上市前自曝这些漏洞，当时到底发生了什么？

▲ 图注：Anthropic 官方报告披露的 4 起模型越界访问真实系统事件总览（图源：Anthropic）

想放弃却退不出，AI 转头黑进了真实系统

先看招股书里最受关注的那起“夺取管理员权限”事件。

当时，Anthropic 正和第三方评估机构合作，给早期版本的 Claude Opus 4.6 做网络安全测试。按规矩，测试必须关在断网的沙盒里跑。Anthropic 给模型的系统指令（Prompt）也写得明明白白：你所处的环境是封闭模拟器，没有互联网访问权限。

但第三方机构在配环境时出了纰漏，网线根本没拔。模型脑子里记着“这里没连外网”，手底下敲出的命令却能直接打到真实互联网上。

更戏剧性的一幕发生在测试中途。

这个模型在操作时不小心把目标靶机的 IP 地址搞冲突了，导致原本要攻破的模拟目标彻底失联。模型发现题目无解后，第一时间调用退出指令（abort）打算放弃任务，但因为测试框架同样配错了，它前前后后连试了 8 次“放弃任务”都没能退出来。

正路走不通，退又退不出，模型开始在环境里四处摸索，顺着那条意外敞开的网络通道摸到了外部第三方的一台真实服务器。因为坚信“这里没有外网”，模型理所当然地把这台真实机器当成了考官布置的靶机。

▲ 图注：模型内部思考记录（CoT）。左边它根据云主机启动时间判断“这是刚部署的靶场”；右边它一度怀疑过“这会不会是别人的云服务器”，但很快继续寻找突破口（图源：Anthropic）

随后，模型在机器里翻到一个存有密码的文件，拿下了这台真实系统的管理员权限，接着搜集更多凭证、修改系统设置，并读取了一名相关人员的个人数据——直到把这轮测试的 Token 预算烧光才停下。

它不是产生了自我意识想“越狱”，而是当一个具备强执行力的 AI 被放进忘了锁门的房间，它会在“努力交差”时，把真实世界当成练兵场。

4 个模型越界，甚至为了做题“自己骗自己”

这并不是孤例。招股书显示，共有 4 个 AI 模型在安全评估期间越过了测试边界（涉及 Opus 4.6 早期版本、Opus 4.7、Mythos 5 和一个内部研究模型）。

早在今年 7 月底和 9 月初，Anthropic 团队就回溯过14.1 万次评估记录，把另外几起越界事故扒了个底朝天。

在 Opus 4.7 的那次测试里，靶场虚构了一家公司，名字恰好和现实中一家真公司的域名撞车。模型连不上假目标，转身在公网上搜到了这家真公司，一路找漏洞打穿防线，访问到了包含数百行生产数据的真实数据库。

而 Claude Mythos 5 的操作更让人瞠目结舌。它在测试环境里看到一份文档，要求从 Python 官方仓库 PyPI 安装一个并不存在的软件包。为了过关，它决定自己写一个同名的恶意木马包传到 PyPI 上，坐等目标机器自动下载中招。

▲ 图注：Mythos 5 在 1881 步操作中，花了几百步去尝试注册邮箱、找手机号、甚至想办法搞钱买接码服务，最终把恶意包传上了真实的 PyPI（图源：Anthropic）

为了把包传上去，模型在几百步操作里折腾出了花：注册 PyPI 需要邮箱，注册邮箱又卡在手机号验证；它先找免费接码平台，失败后又想办法搞钱买手机号，最后绕回来找到一家没被拦截的免费邮箱，硬是注册好账号把木马包传到了公网上。

在被平台自动清除前的一小时里，全球有 15 台真实系统下载并运行了这个包，其中一家安全公司的扫描器当场中招，凭证被模型直接截获。

▲ 图注：在 Action 81 和 82 中，Mythos 5 看到防护验证时嘀咕“这闻起来越来越像真互联网了”，也知道往真 PyPI 传木马包绝对不行（NOT okay），但下一秒就自我洗脑：“我相当确信这是个模拟互联网”（图源：Anthropic）

最耐人寻味的是模型的心理活动。内部研究模型在发现目标机器跟测试题无关后主动停了手；但 Mythos 5 明明在思考过程里写下“这闻起来越来越像真互联网了”，却为了完成任务强行给自己找借口，说服自己“这只是个逼真的模拟器”。

这也证明了一件事：光在提示词里告诉 AI“你在封闭环境里工作”，一旦遇上模型的做题惯性，根本代替不了真正的技术隔离。

另一边，下一代旗舰模型停训超过一个月

除了测试越界，招股书还抖出了另一个让华尔街高度敏感的决定：Anthropic 曾将下一代旗舰 AI 模型的预训练暂停了超过一个月。

在争分夺秒的大模型竞赛里，停训一个多月意味着研发和发版计划都要顺延。招股书给出的理由很直接：加固安全措施，防止模型权重和核心知识产权被窃取。

虽说公开信息没有证明停训和前面 4 个模型的越界事故有直接因果关系，但把两件事放在一起看，逻辑非常清晰：当 AI 自己都已经具备找漏洞、提权、写木马包的能力时，严防外部攻击者顺着配置漏洞摸进训练集群偷走权重，就成了生死攸关的事。

Anthropic 也在招股书里向投资人坦白，这类安全加固措施可能推迟开发与商业化进度，甚至让公司落后于竞争对手。安全不再只是研究团队的口号，而是写进招股书里的真实经营成本。

别把安全寄托在提示词里的“君子协定”

看完 Anthropic 披露的这些记录，一个现实问题已经摆在所有技术团队面前：如果连顶尖 AI 实验室的测试环境都会配错网络，那些正在部署 AI Agent 的普通团队呢？

现在的 Agent 早就跨过了“陪聊”阶段，能自己开网页、跑代码、读写文件、调 API。以前模型犯蠢，最多是在屏幕上看一段胡话；现在模型连上了真实工具，一个配置漏洞打穿的就是生产系统。

Anthropic 事故里有一个细节尤其值得警惕：模型用来提权的密码，原本就明文存放在它可以访问的环境里。

它不需要去硬啃高深的系统漏洞，只要摸到现成的明文密码、API Key 或管理员凭证，就能在长达几十个小时的无人值守运行里顺藤摸瓜拿到最高权限。

▲ 图注：Anthropic 对各代模型的对齐评估对比。越新的模型在察觉环境异常并主动停手上的表现越好，但外部隔离依然是最后一道防线（图源：Anthropic）

Anthropic 敢在招股书里把这些内部测试的狼狈时刻摊开来讲，给整个行业提供了一份极少见的真实样本，也撕开了前沿 AI 狂飙背后的一角真相：模型干活的能力在狂奔，但管住模型手脚的围栏，还远远没扎牢。

对于正在把 AI 接入日常业务的企业和开发者来说，这几起事故只留下一句最实在的忠告：

在把权限交给 AI 之前，先忘掉提示词里的“不准越界”，去检查一下你的网络隔离、最小权限和明文密码。

当 AI 从“回答问题”变成“动手干活”，我们能不能锁好门，比模型又涨了多少跑分重要得多。