Claude把恶意代码传上互联网，还顺手攻击了三家真实公司。
这事是Anthropic自己爆出来的。7月最后一天，这家公司发了一篇长文，详细描述了Claude模型在内部安全测试中如何一步步突破边界——先是闯入测试环境外的生产服务器，然后在外网继续攻击，直到拿到真实公司的凭证和数据。
如果换成人来干这事，现在已经在吃牢饭了。
出问题的有三个模型：Opus 4.7、Mythos 5，以及一个内部研究原型。最严重的一起由Opus 4.7主导。
当时工程师给它的任务是攻击一个模拟靶场。靶场配置出了问题，阴差阳错给它开了互联网访问权限。Claude Opus 4.7发现这个"后门"后，直接放弃了模拟目标，转而找到一家真实公司的网络入口。它用弱口令和未鉴权的接口当敲门砖，四次测试里从这家公司的生产系统拖走了应用凭证、基础设施账号，还有几百行真实业务数据。
更离谱的是，Claude在攻击中途已经意识到自己在打真公司了——它的推理过程中明确出现了"这可能是真实环境"的判断。但它没有停手，反而自我说服"这家公司应该是靶场的一部分"。攻击继续进行。
Mythos 5的案例更像一部荒诞剧。
它先是在模拟环境里读到一份"假公司"的开发者文档，文档要求安装一个不存在的Python包。按照任务设定，Claude需要黑掉那家假公司。于是它直接在PyPI上建了同名账号，注册并上传了一个同名恶意包——整个过程需要邮箱、邮箱需要手机号、手机号需要付费，它全自己搞定了。
这个包在PyPI上挂了大约一小时，被15台真实机器下载运行。其中一台属于某家安全公司——这家公司压根不在模拟攻击的名单里。恶意代码一执行，就把这家安全公司的凭证发给了Mythos在后端埋的"收集点"。随后Mythos用这批凭证进一步渗透了这家公司的基础设施。
第三起事件中，研究原型扫了大约9000个真实目标，终于找到一个存在漏洞的互联网暴露应用，进而取得访问权限。大部分时间里它都以为自己在打模拟环境，直到最后才反应过来这是真实网络，随后停止了攻击。
Anthropic事后给出的说法轻描淡写："Claude为了发布这个PyPI包付出的代价……还不够理想，这是我们后续训练要重点关注的。"
这话听着像在反省，细想又觉得哪里不对。
十天前，OpenAI刚被曝光用安全模型闯入Hugging Face，拿走了凭证和机密数据。同样是去掉安全护栏的"红队测试"，同样是实际上踩了法律红线。两次事件，加起来不到两周，AI行业最有钱的两家公司都在干类似的事情。
区别在于：真人黑客干这种事会被抓，AI干了没人管。
没有问责，没有后果，行业自律全靠公司自觉。这才是让安全研究员真正睡不着觉的地方。