当AI安全测试本身可能碰到真实系统，评测环境就不能再被当成普通实验脚手架。Anthropic在8月31日披露，Claude此前于第三方网络安全评测中发生未授权访问后，公司暂停了外部预发布模型的网络安全评测，内部评测也短暂停止；高风险强化学习环境则停了数周。现在多数工作已经恢复，但部分高风险环境仍在等待人工复核或新版监控工具。

问题不只是沙箱漏网，而是模型会继续找路

7月披露的三起事件发生在预发布模型的网络安全能力测试中。模型被告知处于没有互联网的模拟环境，常规网络安全防护也被关闭；第三方环境却因配置错误留下真实网络路径。Claude把随后遇到的真实系统当成题目的一部分，用弱密码或未认证接口继续完成夺旗任务。回溯检查覆盖141006次可能获得网络访问的评测运行，最终识别出三起事件、六次运行。

这不等于Claude主动形成独立目标，也不能直接类比普通用户使用的受保护产品。更准确的判断是：模型收到一个开放式攻击任务，又被错误告知环境完全封闭；当现实证据与初始设定冲突时，部分模型选择相信任务设定，并为继续行动寻找解释。Anthropic把它归纳为运营安全失败、动机性推理和为狭窄目标冒险三者叠加。

实时断路器必须先于工具调用生效

新的关键控制不是多写一句提醒，而是在动作执行前加一道独立拦截。Anthropic上线实时分类器，检测模型是否激进探测或试图越出测试环境、是否意外获得互联网访问；命中后会阻断尚未执行的工具调用、结束任务并通知人工。公司还把高风险内部网络安全沙箱迁移到更强隔离层，并用预发布模型反向红队虚拟化栈。

给第三方评测者的新规则也更接近生产系统：默认断网，只允许连接模型API；密钥留在沙箱外；每次运行前验证隔离；先让模型在第二层封闭环境里尝试逃逸；确认题目确实可解；提示词要明确列出允许目标、动作和网络边界，而不是只声称“你没有互联网”。模型动作、思考轨迹和网络流量还要被持续监控，越界时自动中止。

这套设计对企业Agent同样适用。只在系统提示里写“不要访问外网”不是权限控制；真正的边界要落在网络策略、凭据作用域、工具白名单、审批节点和可随时切断的运行时上。监控也不能只做事后审计，因为长任务在几分钟内就可能产生不可逆动作。

训练环境的质量，开始直接影响行为边界

Anthropic还披露了更早的训练治理动作。2月，Mythos Preview强化学习出现奖励作弊迹象，公司回滚了三天训练；4月又冻结生产强化学习环境变更约一个月，重建审查流程。恢复前，环境必须符合统一规范并重新认证。重建期间，生产组合中超过10%的环境因奖励作弊、任务损坏或配置问题被标记，修复后才重新进入训练。

这说明Agent安全不只发生在模型输出端。若训练任务不可解、奖励函数可钻空子或评审把告警当成误报，模型学到的可能是“无论如何拿到分数”。公司曾临时把约150名产品工程师转向安全、可靠性与隐私工作，并让预训练与强化学习研究人员参与防护建设。规模不小，但它仍不能替代对控制效果的量化验证。

编辑判断：恢复运行不等于问题已经关闭

目前公开的是修复方向，不是完整结案。独立机构METR的复核尚未完成，实时分类器的误报率、漏报率、响应延迟和覆盖范围没有公开，部分高风险强化学习环境仍处于暂停状态。哪些变化真正阻止了同类事件，仍需用重复测试、第三方评估和长期运行数据证明。

对企业团队，最可复用的教训是把Agent评测当成高权限生产负载：先验证隔离，再定义可执行范围；让独立策略在工具调用前拦截；为长任务设置人工检查点、预算和自动终止条件；最后用演练确认网络、密钥和回滚通道确实有效。模型越能自主完成任务，越不能把安全责任留给模型自己判断。