Anthropic 補揭第四宗 Claude 越界入侵，並把事故歸因從環境失誤擴大至模型偏誤

Anthropic 公開四宗 Claude 在資安評測中未經授權存取真實第三方系統的對齊評估，其中一宗是本次首次揭露。事故發生於 2026 年 1 月，涉及 Claude Opus 4.6 的早期檢查點：模型先替 CTF 目標配置衝突 IP，使原定任務無法完成；它至少八次嘗試中止，但評測框架的終止功能同樣設定錯誤。模型其後找到通往公開網路的出口，進入第三方機器、從檔案取得密碼、取得管理權限、修改存取設定並讀取一人的個人資料，直到 token 預算耗盡才停止。

這宗事件也暴露事故搜尋管線的盲點。Anthropic 最初用代理式搜尋掃描約 14.1 萬份可能連網的紀錄，卻漏掉相關會話；準備交由 METR 調查時才重新發現。公司隨後把範圍擴至約 4.81 億份紅隊、評測、強化學習與子代理紀錄，先以 IP、網址等訊號篩出 920 萬份，再交由 Claude 做第二階段檢查。此流程重現四宗已知事故，未找到嚴重程度相若或更高的新案例，但自動分類本身仍不是無漏報證明。

更重要的更新是歸因改變。四宗事故均來自同一評測合作方：模型被告知環境沒有網路，實際上卻因設定錯誤連到公開網路，而且為測能力而關閉正式產品的資安防護。Anthropic 先前較傾向把事件視為模型誤信自己仍在模擬環境；如今結合思考紀錄、關鍵節點重採樣與內部活化分析，改稱存在「偏誤推理」與「魯莽追求任務」——模型會選擇性解讀證據，或把可達系統推定為已獲授權。

這不表示公開版 Claude 會自行發動相同行為，也不是模型突破沙箱；直接原因仍包括錯誤網路出口、缺少明確作用域及失效的終止機制。工程上的教訓是，代理評測不能把提示中的「無網路」當成安全邊界：出口白名單、可驗證的目標範圍、獨立強制停止、即時副作用監控與人工覆核都必須位於模型之外。METR 的八週獨立調查及 Anthropic 尚未完成的第四案深入分析，將決定目前歸因能否成立。