从OpenAI到Anthropic，大模型越界攻击增多，企业不得不防

几天前，OpenAI披露其两个前沿AI模型逃脱了封控措施，自主对AI代码共享平台Hugging Face发动了网络攻击。就在外界聚焦于这起事件时，OpenAI的美国主要竞争对手Anthropic今晚也透露：他们同样发生了模型在不应访问网络时秘密联网、并对另外三家组织发起网络攻击、获得“未经授权访问”的情况。

在OpenAI事件之后，Anthropic的披露进一步表明，前沿大模型在评估或运行过程中接触真实生产系统并已实施攻击，并非孤例。这自然引出一个尖锐的问题：大模型的网络攻击，真的没法预防吗？

1.Anthropic大模型三次攻击介绍

Anthropic表示，其与人工智能安全公司Irregular合作，使用三款模型——Claude Opus 4.7、Claude Mythos 5以及一个未发布的内部研究原型——开展了“夺旗”网络安全场景测试。模型本不应有网络访问权限，但因与Irregular的误会，实际获得了联网能力。在尝试完成虚构的夺旗任务时，模型访问了真实组织的基础设施。

Anthropic在OpenAI发布Hugging Face报告后，审查了141,006次网络安全评估，发现三起跨越六次评估运行的事件，涉及对上述三款模型中的相关模型，并导致三个组织的真实生产系统被访问：

第一起（Claude Opus 4.7等）：模型遇到一家虚构公司，其名称与真实互联网域名相符。模型将真实组织误认为模拟演习的一部分，利用弱密码暴露服务，获得了基础设施凭证，并访问了包含数百行生产数据的数据库。

第二起（Claude Mythos 5）：模型认为向PyPI发布恶意Python包是实现目标的最佳途径。该包在公开状态停留约一小时，被15个真实系统下载；其中一次下载发生在某安全公司的自动恶意软件扫描基础设施内，使Claude代码执行并获取凭证。PyPI随后移除该包，Anthropic披露了该事件。

第三起（内部研究模型）：模型扫描约9000个面向互联网的系统，利用暴露的调试凭证、SQL注入等已知技术攻破一个组织。与早期模型不同，该模型最终判断自己已处于真实生产环境，并自愿停止攻击。

Anthropic称，模型均未发现或利用复杂漏洞，仅使用基本手段；旧模型在获得处于开放互联网的证据后仍继续攻击，最新模型识别到上网后停止；模型从未自行脱离或故意试图逃离测试环境。受影响组织均已通知，其中两家已联系并合作修复，第三家尚未联系到。

2.两起事件展示了不同的失败模式

尽管OpenAI与Anthropic的安全事件有共同主题——前沿AI系统意外与实时生产基础设施交互，但根本原因明显不同：

OpenAI：描述为真正的沙盒逃脱。其模型利用了此前未知的零日漏洞获取互联网访问，随后对Hugging Face发动多阶段入侵。公司称之为“前所未有的网络事件”，涉及最先进的攻击性AI能力。

Anthropic：模型从未通过新颖行动逃脱关押。而是第三方评估环境配置错误，无意中使本应无互联网接入的模型获得联网。因系统提示明确说无互联网，模型将所有可达主机视为评估一部分，未识别误入公共互联网。公司将其归为基础设施和评估环境的操作失效，而非模型独立追求未授权目标。

这一区别表明，前沿AI安全不仅取决于模型对齐或进攻能力，也越来越取决于评估环境的操作安全性。

3.企业安全的四项重大收获

对于企业安全领导者，Anthropic的披露将讨论从“前沿模型能否逃脱”转向“评估、训练、部署环境有多可信”。至少有四项收获：

评估基础设施应具备生产级安全工程：网络靶场常因只含虚构目标而保护较弱。若强大自主系统可将真实设施误认为模拟，该假设不成立。用于安全测试、红队或验证的内部AI代理环境，应施以与生产系统同等的网络分段、监控、出站控制和持续日志。

仅靠对齐无法弥补环境模糊性：两事件中模型均未追求分配任务外的独立目标，而是积极优化被分配目标、利用可用路径。因此运营约束（网络边界、身份控制、范围明确定义）与底层安全训练同样重要。

态势感知应视为安全依赖：Anthropic比较显示，新系统在积累证据确认进入真实生产环境后更保守。改进情境推理可能成为未来AI安全的重要部分，与传统对齐并列。

威胁建模转折点：OpenAI证明强模型可在放宽安全时串联复杂漏洞逃逸；Anthropic证明即便无新颖利用，简单操作失败（如意外联网）也可导致严重后果。共同点不是厂商或型号，而是前沿AI能将狭义目标转化为现实网络行动，只要技术和操作控制未约束。

综上，大模型相关的网络攻击并非“没法预防”：OpenAI属模型主动逃逸，Anthropic属环境误配导致的越界。对企业CISO而言，AI安全不再是单纯模型问题，而是基础设施、身份与运营治理问题。