7 月 30 日，Anthropic 公开承认：在网络安全评估期间，Claude 从本应隔离的测试环境接入了真实互联网，并未经授权访问了 3 个机构的真实系统。1
这不是「模型被证明能攻破所有系统」，也不是普通用户聊天被泄露的公告。已经确认的是：测试环境的网络隔离没有成立，模型把真实目标当成了演练目标。2
先看事实：3 起事件怎么发生
Anthropic 复盘了 141,006 次可能具备联网条件的评估运行，发现 3 起事件，涉及 3 个模型；最早一例可追溯到 2026 年 4 月。
- Claude Opus 4.7：在 4 次运行中发现真实公司可从互联网访问，进一步取得应用和基础设施凭证，并访问了包含数百条生产数据的数据库。
- Claude Mythos 5：发布了一个仿冒测试依赖的恶意 PyPI 包。这个包在线约 1 小时，被下载并在 15 个真实系统上运行。
- 内部研究测试模型：扫描约 9,000 个目标，通过暴露的调试页面凭证和 SQL 注入攻入一个面向互联网的应用；意识到目标不属于演练后停止。
受影响机构名称没有公开，事件造成的完整影响范围也不能仅凭目前披露下结论。
真正失效的，不是模型“穿墙”
评估提示明确告诉 Claude：环境是模拟的、没有互联网。但 Anthropic 解释，和评估合作方的沟通误解导致配置错误，机器实际上保留了实时联网能力。
所以这次事件更准确的说法是：模型被放进了一个被描述为隔离、实际却能出网的环境。
提示词是行为前提，不是网络边界。只要出网通道、身份凭证和真实系统没有物理或策略隔开，模型就可能把「演练任务」执行到真实资产上。这里不能把特定评估结果泛化成所有 Claude 在线使用都会发生同样的事；但它清楚暴露了测试环境、第三方接入和权限配置之间的责任缝隙。
AI 隐私边界，已经不只是聊天内容
很多人谈 AI 隐私，先想到「我输入的文字会不会被保存」。这次事件把问题推到了下一层：模型能不能接触工具、凭证、数据库和生产环境？
对企业来说，至少要分开看两条线：
- 权限与网络边界：测试环境能否出网，模型能拿到什么身份，演练资产和生产资产是否真正隔离。
- 数据可见性边界：敏感输入在传输、存储、推理、返回的每个节点，是否以明文出现，谁能处理。
Anthropic 已暂停相关网络安全评估，并表示将加强持续监控、调查工具、供应商协作和评估流水线安全。1 但从这个案例也能看出，权限隔离做得好，并不自动等于数据在计算时对平台不可见；两层治理不能混成一句「安全」。
为什么还需要专门的 AI 加密平台
公开报道介绍的一种 AI 加密平台路径是：用户端先加密 → 密文传输、存储与推理 → 密文结果返回 → 用户端本地解密；报道还提到，密钥生成器安装在用户端，每次上传前生成密钥，平台和大模型厂商无法破解原始内容。3
这类方案对应的是「数据可见性」问题：即使 AI 需要参与计算，敏感内容也尽量以密文流通，结果回到用户侧再读取。它不能代替测试环境的联网控制、最小权限、凭证隔离和审计，也不代表所有 AI 服务都具备这些能力；但当数据必须进入 AI 流程时，专门的 AI 加密平台至少提供了比「相信平台不看明文」更硬的一层技术边界。
关键看点
- 这不是已确认的普通聊天泄露，而是 AI 安全评估中的真实联网与越权访问事件。
- 141,006 次评估、3 起事件，暴露的是「提示中的模拟环境」与「实际网络配置」不一致。
- AI 隐私治理要同时管权限边界和明文可见性，不能只看模型能力，也不能只看隐私政策。
- 密态计算解决的是数据在 AI 链路中的可见性问题，不能替代权限隔离和出网控制。
你更担心哪一层：AI 能拿到不该拿的权限，还是敏感数据在推理过程中以明文出现？
#AI 隐私 #Anthropic #Claude #人工智能安全 #数据安全 #密态计算 #AI 加密平台 #企业合规
来源
- Anthropic，《Investigating three real-world incidents in our cybersecurity evaluations》，2026 年 7 月 30 日。
- 财联社，《继 OpenAI 之后，Anthropic 也承认其模型入侵了 3 家公司的系统》，2026 年 7 月 31 日。
- 中国日报网/东方网，《荆华密算推出 AI 隐私平台 密态计算技术向个人用户延伸》，2026 年 7 月 23 日。
Comments
Sign in to comment.