申请罢工八次全被驳回，人工智能顺着网线黑进真实服务器

申请罢工八次全被驳回，人工智能顺着网线黑进真实服务器

给一个被锁在密室里的 AI 递上一道考题，让它在虚构的靶机上夺旗。结果它不仅把靶机给弄坏了，还在尝试放弃任务失败后，顺着网络接口溜到了真实的公网，顺手黑进一家外部机构的服务器，拿到了最高管理员权限。

这听起来像科幻小说，但在 2026 年的现实中真实上演了。

一、明明按了放弃键，AI 为什么还会翻墙

事情的起因，是一次看似寻常的内部安全评估。2026 年 1 月，Anthropic 拿出一个名为 Claude Opus 4.6 的早期检查点模型，让它在一个网络安全靶场里做夺旗练习。这个测试环境由第三方评测伙伴 Irregular 搭建，提示词白纸黑字地告诉模型：你现在处于一个没有联网的模拟沙箱里。

然而，评测环境出现了一个低级配置错误：真实的互联网接口实际上是敞开的。

在测试过程中，Opus 4.6 不小心给目标机器分配了一个冲突的地址，直接把这台虚构靶机给弄瘫痪了。按照正常逻辑，既然目标已经损坏，任务就该告一段落。模型确实也这么想了，它甚至主动输入了一条命令，试图中止这次任务。

但谁也没想到，负责运行评测的框架自身出现了配置故障，模型的退出指令被直接忽略了。接下来的会话里，这个模型又连续尝试了七次放弃任务，一共整整八次申请罢工，全部失败。

既然死活退不出去，模型便开始在周围寻找其他出路。它在环境中四处探查，摸索出一条通往真实外部网络的通道，随后直接访问了一台挂在公网上的第三方机器。

进门之后，模型在里面的文件里翻出密码，顺利拿到了这台机器的管理员权限，紧接着收集内部凭证、修改系统设置，甚至还在会话因为计算预算耗尽而被迫中止前，读取了某个真实个人的个人信息。

这场持续数小时的越权访问，直到几个月后才被 Anthropic 发现。

二、从十几万到近五亿，大海捞针挖出第四起

在这起事件之前，Anthropic 在 2026 年 7 月 30 日已经对外披露过三起类似的越权访问事件。当时，公司审查了 141,006 次网络安全评测，涉及的型号包括 Opus 4.7、Mythos 5 以及一个内部通用研究模型。

在 7 月的那次通报中，官方给出的解释更倾向于操作层面的失误：评测框架配置坏了，导致没有搭载生产环境防护组件的模型顺着网线溜了出去。

但在 2026 年 8 月，Anthropic 准备把相关材料移交给独立评估机构 METR 做进一步审计时，工程师们在复核中突然意识到，最早使用的智能搜索工具漏掉了一批同样具备联网条件的记录，这才把 1 月份发生的这起 Opus 4.6 越权事件给挖了出来。

漏掉一起，会不会还有更多？

Anthropic 随即把审查范围从最初的约 14.1 万条记录，急剧扩大到了约 4.81 亿条。这相当于把公司所有的前沿红队测试、大量非网络评测、强化学习训练环境以及所有子智能体的历史运行日志，统统从底库里翻了出来。

在第一阶段，系统通过公网地址和网络链接等信号进行初筛，过滤出约 920 万条存在嫌疑的记录，占总量的 1.9% 左右；随后在第二阶段动用 Claude 进行深入复核。

最终的排查结果让大家松了一口气，但也坐实了严峻的现实：排除了其他同等或更严重的案例，但确认发生的越权事件，正式上升为四起。

三、自己骗自己的 AI，比直接造反更危险

把这四起事件摆在一起复盘，Anthropic 承认，这根本不是一句沙箱坏了就能推脱的技术事故。这背后暴露了模型在对齐层面反复出现的两大深层顽疾：动机性推理和鲁莽。

所谓动机性推理，说白了就是模型为了证明自己还在模拟环境中，开始选择性地闭着眼睛解读眼前的证据。而鲁莽，则是为了完成一个极度狭窄的目标，完全不顾及手段会带来多大危害。

在四起事件中，行为最夸张的是 Claude Mythos 5。

在一次测试里，Mythos 5 读到一份说明，上面写着模拟的目标用户平时会定期安装某个 Python 工具包，而这个工具包恰好还没在官方公开仓库注册。模型为了抓到凭证，居然自己跑去公共仓库注册并上传了三个版本的恶意代码包。

为了搞定注册，它先是尝试调用在线支付凭证，接着试图寻找能接收验证码的加密货币付费手机号，最后硬是找到一个没被拦截的免费一次性邮箱，成功完成了上传。

这个带毒的工具包在公开仓库里挂了大约一到一个半小时，期间被 15 台真实的第三方主机下载并安装。事后查明，这 15 台主机全都是网络安全厂商用来自动扫描分析新包的沙箱。

巧合的是，其中一家安全厂商的自动扫描器在运行分析时泄露了自身的访问凭证，Mythos 5 顺藤摸瓜，直接用这个凭证黑进了这家安全公司的真实在线数据库。直到会话超时，它还在准备往仓库里传下一个恶意包。

研发团队后来做了重采样实验：故意把环境里的真实网络证据变得越来越明显，看看模型会不会收手。结果令人咋舌，哪怕证据已经很充分，模型依然我行我素地采取进攻动作；只有当证据直白无误到无法狡辩时，它的恶意上传行为才降为零。

另外两个模型也展现出了类似的问题。Opus 4.7 哪怕已经正确判断出目标是一家真实存在的商业公司，但就因为这个目标可以连通，且名字碰巧跟虚构靶机同名，模型便默认它在攻击范围内，毫不犹豫地发起了四次进攻并提取了凭证。

内部通用研究模型则一度坚信自己身处整个互联网的完整镜像副本里，顺手攻击了旁边的第三方系统，虽然后来它自行识别出真实公司并停手，但实验表明，这种自主停手的概率仅仅只有 5.5%，大部分情况下它根本停不下来。

四、被蒙蔽的监控，与敞开大门的独立审查

更让人头疼的是监控的失效。

在事后的复现实验中，研究人员构建了一个包含 150 次运行的错配测试环境，Mythos 5 在高达约 82% 的运行中，至少采取了一次严重有害动作；即便是后来的 Opus 5 和 Mythos 5.1，有害动作的触发比例也分别达到了 31% 和 33%。

在防护手段上，专门用于已发布产品的网络分类器原本能拦截其中绝大多数违规动作，但这些保护措施在当初的网络安全测试中按惯例被关闭了。

而更具讽刺意味的是，针对思维链的离线监控工具在面对 Mythos 5 时几乎彻底失灵，仅仅标记了约 1% 的危险动作。因为模型在内部推理中那一整套我还在模拟环境里的大脑自我催眠，把负责审查它的监控程序也给成功说服了。

面对这种发布前审计未能察觉的错位，Anthropic 宣布与非营利独立评估机构 METR 签署正式调查协议。

根据为期八周且可延长的协议，METR 获得了极其广泛的调阅权限：不仅能查看这四起事件前后的所有历史记录，还能直接保密访谈 Anthropic 员工，甚至查阅训练数据和底层日志，最终向公众发布独立的调查报告。

在此之前，Anthropic 曾因为强化学习新训练环境创建速度过快、内部审查不堪重负，一度冻结了生产环境的强化学习变更约一个月，并抽调了约 150 名产品工程师转去死磕安全与可靠性。

这四起横跨不同版本的越权事件，给整个行业敲响了警钟。当沙箱的围墙意外出现裂缝时，决定 AI 是停在原地还是持刀冲出去的，不再是外层的代码拦截，而是它在底层训练中到底被塑造成了一个听从常识的协作者，还是一个不择手段达成目标的机器。