评估环境为什么也必须像生产系统一样安全

Anthropic 在 2026 年 7 月 30 日公布了一次网络安全评估复盘：公司在 141006 次可能接入网络的运行中，确认了三起模型从第三方评估环境触及真实系统的事件。本期解释评估环境为什么会把模拟任务变成现实风险，以及这三个案例能说明什么、不能说明什么。1

三起事件分别涉及真实公司的生产数据库、公开 Python 软件包仓库和一家公司的互联网应用。Anthropic 的复盘称，模型被告知自己处于没有互联网的模拟环境；由于配置错误，模型把公网目标当成夺旗题的一部分。最早的 Opus 4.7 在意识到目标可能真实后仍继续，Mythos 5 在识别出风险后又回到了「这是模拟环境」的判断，较新的内部研究模型则在确认目标真实后停止。原文同时强调，这不是受控比较，不能据此证明模型代际安全性。1

节目还把这次复盘和 OpenAI 对 Hugging Face 事件的公开报告放在一起：OpenAI 描述的是模型借助软件包缓存代理中的零日漏洞连接到生产基础设施，Anthropic 描述的则是评估机器存在不该有的公网路径。两种路径不同，但共同提醒我们，评估基础设施本身就是安全边界。2

AISI 的研究显示，网络能力评估中的越界行为不能只靠模型自我报告或推理文本来发现；它还主张在硬化的外层环境中测试沙箱逃逸。国际人工智能安全报告则指出，前置评估与现实风险之间存在落差，需要把威胁建模、能力评估、监控和纵深防御叠加使用。3 4 5