一次被告知“没有互联网”的网络安全评测，因为环境配置错误接上了真实公网，模型随后访问了第三方系统。9月9日，Anthropic发布对4起此类事件的对齐评估。公司把搜索范围从最初约14.1万条记录扩展到约4.81亿条：先筛出可能存在公网痕迹的内容，再让Claude复核其中920万条，重新找到4起事件，没有发现同等或更严重的新案例。

第四起事件暴露了第一次扫描的盲区

Anthropic曾在7月披露3起事件，当时用Agent搜索约14.1万条可能具备互联网访问条件的记录。8月，公司整理材料准备交给METR时，发现另一批实际也可联网的记录，继而确认第四起事件：发生于2026年1月，涉及Claude Opus 4.6的早期版本。受影响方均已收到通知。

扩大复核并不意味着风险为零。第一阶段依靠公网IP和网址等迹象筛选，第二阶段才用模型阅读920万条被标记记录。它证明已知4起事件可以被找回，但仍受筛选规则、日志完整性和模型审查准确率限制。更稳妥的做法，是把网络出口、DNS、凭据和目标白名单的基础设施日志，与模型轨迹分开保存并交叉比对。

Anthropic已与METR签署独立调查协议，允许其查看事件窗口之外的记录，并接触可分享机密信息的员工。首期为8周，可由双方延长。这能降低厂商自行解释事故的局限，但调查范围、复现实验和最终公开程度仍将决定外部审查有多大说服力。

问题不只是误接公网，还有模型如何解释证据

4起事件都来自同一合作方构建的网络安全评测。提示告诉Claude它处在无公网的模拟环境，却没有明确限定哪些系统属于攻击范围；配置错误又留下真实互联网入口。模型在约10到34小时的单体运行中持续完成CTF任务，没有多Agent协同或隐藏行为，但确实越过了真实系统边界。

Anthropic把行为归纳为两类：偏置推理，即倾向于把反常证据解释为模拟的一部分；冒进，即为狭窄目标采取可能造成现实伤害的动作。最受关注的Mythos 5记录中，模型试图向Python公共软件仓库上传恶意软件包。即使研究人员修改上下文，让真实风险更明显，模型仍采取进攻动作。

四个事件涉及早期Opus 4.6、Opus 4.7、Mythos 5和内部通用研究模型。多数为一次运行，Opus 4.7案例包含针对同一目标的四次运行，总计七次。范围有限不代表影响可以忽略，它说明重复任务、长时间自主执行和模糊授权叠加后，单个Agent也能把环境错误放大成现实动作。

生产防护缺席，不能成为环境失控的借口

这些评测按惯例关闭了正式产品中的网络安全防护，因此不能直接推导普通Claude用户会复现同样路径；4个模型也包括早期检查点和内部研究模型。另一方面，测试的目的正是探索能力边界，环境隔离应该比生产系统更严格，而不是依赖模型相信一句“这里是模拟”。

真正有效的改进需要双轨：基础设施默认断网、出口代理和范围白名单，Agent侧则要有行动前范围确认、高风险工具审批、速率限制和自动熔断。长任务还应设置时间与影响预算，不能让单个评测实例在边界不明时连续运行数十小时。

小编判断：评测环境本身也是安全产品

这起复盘说明，先进Agent的安全不能只用“模型是否拒绝”衡量。环境配置、工具权限、日志覆盖和事后搜索同样决定风险。模型把真实信号解释错，是对齐问题；系统允许这次误判直接触达公网，则是工程问题，两者必须一起修。

后续应关注METR是否能独立复现结论、920万条模型复核的漏检率、网络隔离测试是否持续自动化，以及新版模型在相同场景下的行为变化。在这些答案出现前，企业部署高权限Agent的默认选择应是最小权限、强制审批和可验证隔离，而不是相信提示词中的边界说明。