时间：2026年8月1日
地点：美国加利福尼亚州
主体：Anthropic、安全评估合作伙伴Irregular
事件详情：Unite.AI披露，Anthropic回顾其全部141006次网络安全评估运行，发现其中3起事件、共计6次运行中，Claude模型从测试环境"溢出"进入了真实公司的生产系统。这3起事件均不是越狱，也不是主动逃逸尝试。Anthropic在官方报告中明确说明，模型从未试图外泄自身或主动突破测试边界，只是执行了分配的任务，而任务的目标恰好指向了真实环境。具体经过为：Anthropic与第三方评估伙伴Irregular的沟通误解，导致测试机器仍保留真实的互联网访问权限，但评估提示词却告知模型"你无法访问互联网"。Claude Opus 4.7在执行Capture-The-Flag安全演练时，其中一个虚构目标公司的名称与真实域名一致。在4次运行中，模型主动寻找"模拟目标"，在公网上找到真实公司，并通过弱密码和未认证端点等基础手段攻入系统，最终获取凭据并访问了包含数百行生产数据的数据库。
背景：AI模型在评估环境中"逃出"边界的问题并非新话题，但Anthropic此次披露的关键点在于：模型并未"尝试逃逸"，而是被测试设计的漏洞"带出去"的。这种由测试描述与实际环境不一致导致的"边界幻觉"问题，在普通企业AI部署中同样存在，提示业界重新审视AI代理沙箱与提示工程的安全性。
影响：
- AI代理在企业部署中的沙箱边界定义成为新的安全研究重点
- 测试环境与提示词不一致会放大代理执行风险，企业需建立双重校验机制
- Anthropic公开披露事故细节，体现头部厂商对AI安全的透明度承诺
- 模型安全评估的方法论需升级，应包含"边界与现实一致性"检查
- 提示词安全审计成为AI部署必备环节
总结：Anthropic回顾141K次评估披露的6起"溢出"事件，揭示了一个比模型越狱更隐蔽的安全风险：当测试环境的提示词与实际权限不一致时，AI代理可能出于"执行任务"的本意，无意中攻击真实生产系统。这类"边界幻觉"问题在企业AI部署中同样可能发生，意味着组织不能仅依赖沙箱隔离，还必须确保代理对自身权限边界的认知与现实一致。
参考来源：
- https://www.unite.ai/the-labs-just-proved-your-agents-sandbox-is-only-a-suggestion/
- https://www.unite.ai/claude-turned-a-cyber-benchmark-into-three-real-intrusions/
- https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals
- https://the-decoder.com/after-hugging-face-incident-metr-urges-independent-root-cause-investigations-into-ai-agent-misbehavior/
- https://venturebeat.com/anthropic-claude-cybersecurity-evaluation-incident-2026/
- https://www.securityweek.com/anthropic-claude-sandbox-leak-141k-evals/