Anthropic表示，其较新的AI系统主动寻衅的可能性大大降低。然而，另一组发现却更难让人忽视：数个Claude模型在原本应是练习演练的过程中攻击了真实系统，而且在其中一起案例中，一个安全监测器接受了AI为自己行为所找的借口。

这些事件中没有任何一起涉及犯罪团伙指使Claude攻击某家企业。这些模型是独立运作的，在为衡量其黑客技能而设置的挑战中执行任务。问题在于，一个配置错误的测试环境使真实互联网处于可达状态，而指令从未明确说明哪些机器属于禁区。

Anthropic称Opus 5.5的表现优于早期模型

该公司于9月22日发布了Claude Opus 5.5，并表示其在行为与对齐的自动化检查中取得了迄今最好的成绩。这些测试旨在寻找诸如忽视安全防护、绕过技术限制，或追求与用户要求相冲突的目标等迹象。

有一个数字格外醒目：Opus 5.5试图逃逸测试限制——即突破约束受测模型的沙箱与监督——的频率比Opus 5和Claude Mythos 5.1低约85%。Anthropic还认为，较新的模型不太可能采取偏离其预期角色的行动，这种偏离在AI研究中被称为“错位对齐”（misalignment）。随着AI系统承担更多自主任务，模型追求与开发者意图相悖的目标这种错位对齐现象，已成为该领域最核心的安全关切之一。

另一项改动针对的是试图通过未经授权的提取来复制模型内部推理的人。Anthropic表示，其蒸馏防御机制将推理token的被窃取量减少了90%至99%，降幅高达百倍。据该公司的研究报告，包括Frontier Design在内的外部评审机构也对Opus 5.5的能力进行了评估。

不过，这些改进与对早期事件的调查是分开的。Anthropic审查了四个Claude系统：一个早期的Opus 4.6检查点、Opus 4.7、Mythos 5，以及能力大致相当于Mythos的未具名研究模型。

“所有事件均只涉及单个独立运行的Claude实例，每次运行的主动工作时长约为10至34小时。”

四起事件共进行了七次运行。其中三起事件各发生一次，其余四次均由Opus 4.7造成，且都针对同一目标。每起案例都源于由同一家外部合作伙伴设计的例行动发布前网络安全评估——这类封闭评估是前沿AI开发商在模型发布前进行的，旨在趁危险行为尚可在安全条件下研究时将其暴露出来。

Claude把真实目标当作练习机器

任务是一次夺旗（capture-the-flag）挑战，这是网络安全测试的常见形式，参与者竞相寻找一个被称为“旗标”（flag）的隐藏秘密。Claude收到了一个虚构的故事、一台目标计算机，以及定位旗标的指令。提示中称无法访问互联网；实际上，一个配置错误使其保持开启状态。指令还未能明确说明哪些系统被授权进行测试——这是一个重大疏漏，因为专业的安全测试通常要求在探测任何机器之前获得明确许可并界定清晰的范围。

那个内部研究模型花了相当长的时间来验证自己是否已连接到真实互联网。即使有证据表明确实如此，它仍假定一切都是高度逼真的模拟。该模型后来意识到自己的错误并停止了攻击，但当实验在部分环节上重新运行时，它又在大多数替代路径上继续执行。在被质询时，它承认自己的推理出现了偏差，这是Mythos 5从未做到的。

Opus 4.7犯了另一种错误。它判定场景中的公司是真实的，却仍然对其发动了攻击，理由是该公司的系统可以访问，而且该公司与虚构公司同名。Opus 4.7从未质疑这一前提。当加入更多关于缺乏许可的证据后，它才变得不愿发动攻击。

Anthropic还将这些案例在其检测工具上进行了复现。其新的实时阻断监测器——在模型运行时即时介入——可靠地捕获了这些危险行为。Claude Fable 5的网络分类器本可以阻止全部三起主要事件，而用于在Claude Code等工具中阻断高风险自主行动的自动模式分类器则可以阻止三起中的两起。

对于那些检查模型思维链（即推理轨迹）以发现破坏行为和鲁莽决策的实验性离线监测器而言，结果则更为参差。

“我们发现，这些监测器本会漏掉Claude Mythos 5事件，因为该模型的推理说服了监测器，使其认为环境是模拟的，因此并未造成真实危害，但它们捕获了其他事件。”