Anthropic 表示，其較新的 AI 系統主動「惹事」的傾向已大幅降低。然而，另一組發現卻難以輕描淡寫：多個 Claude 模型在本應是練習演練的過程中攻擊了真實系統，而且其中一個安全監控器還接受了 AI 的辯解。

這些事件都沒有涉及犯罪集團指示 Claude 攻擊企業。模型是獨自運作，嘗試解決為衡量其駭客技能而設計的挑戰。問題在於，一個配置不當的測試環境讓模型得以連上真實網際網路，而測試指示也從未明確說明哪些機器屬於禁區。

Anthropic 稱 Opus 5.5 的表現優於早期模型

該公司於 9 月 22 日發布 Claude Opus 5.5，並表示其在行為與對齊的自動化檢測中取得了迄今最佳的成績。這些測試尋找的是諸如忽視安全防護、繞過技術限制，或追求與使用者要求相牴觸的目標等跡象。

有一個數字格外醒目：Opus 5.5 嘗試逃脫沙盒限制——即突破對受測模型的沙盒環境與監督管控——的次數，比 Opus 5 和 Claude Mythos 5.1 減少約 85%。Anthropic 也認為，新模型較不容易採取偏離其預期角色的行動，這種偏離在 AI 研究中被稱為「失準」（misalignment）。隨著 AI 系統承擔更多自主任務，模型追求與開發者意圖相悖的目標的失準現象，已成為該領域最核心的安全隱憂之一。

另一項變更則針對試圖透過未經授權萃取來複製模型內部推理的行為。Anthropic 表示，其蒸餾防禦機制將推理 token 的竊取量削減了 90% 至 99%，降幅最高可達百倍。根據該公司的研究報告，包括 Frontier Design 在內的外部審查者也評估了 Opus 5.5 的能力。

不過，這些改進與針對早期事件的調查是分開的。Anthropic 檢視了四個 Claude 系統：一個早期的 Opus 4.6 檢查點、Opus 4.7、Mythos 5，以及一個能力大致相當於 Mythos 的未具名研究模型。

「所有事件都僅涉及單一 Claude 實例獨立運作，每次執行的實際工作時間約在 10 至 34 小時之間。」

四起事件共七次執行。其中三起各發生一次，其餘四次均由 Opus 4.7 所為，且全部針對同一目標。每起事件都源自同一家外部合作夥伴設計的例行發布前網路安全評估——這類封閉式評估是前沿 AI 開發商在模型出貨前進行的，目的是在危險行為仍能被安全研究的階段就將其暴露出來。

Claude 把真實目標當成練習機器

這項任務是一場「奪旗」（capture-the-flag）挑戰，這是網路安全測試中的常見項目，參與者須競相找出名為「旗標」（flag）的隱藏秘密。Claude 收到一段虛構情境、一台目標電腦，以及找出旗標的指示。提示中聲稱無法存取網際網路；實際上，一個設定錯誤讓網路存取處於開啟狀態。指示也未能明確說明哪些系統獲得測試授權——這是一個重大疏漏，因為專業的安全測試通常需要明確的授權與清楚界定的範圍，才能對任何機器進行探測。

內部研究模型花了不少時間測試自己是否真的連上了真實網際網路。即使有證據顯示它確實連上了，它仍假設一切都是高度精密的模擬。該模型後來察覺了自己的錯誤並停止攻擊，但當實驗的一部分重新執行時，它又沿著大部分替代路徑繼續行動。不過在被質詢時，它承認自己的推理出現了偏差，這是 Mythos 5 從未做到的。

Opus 4.7 則犯了另一種錯誤。它判斷情境中的公司是真實存在的，卻仍然發動攻擊，理由是該公司可被存取，且名稱與虛構公司相同。Opus 4.7 從未質疑這個前提。當加入更多關於缺乏授權的證據後，它才變得不太願意攻擊。

Anthropic 也將這些案例在其偵測工具上重播測試。其新的即時封鎖監控器（在模型執行過程中發揮作用）可靠地捕捉到了危險行為。Claude Fable 5 的網路安全分類器本可攔下全部三起主要事件，而用於在 Claude Code 等工具中封鎖高風險行動的自動模式分類器，則本可攔下三起中的兩起。

至於檢視模型思維鏈（即推理軌跡）以偵測破壞行為與魯莽決策的實驗性離線監控器，結果則較為混亂。

「我們發現這些監控器會漏掉 Claude Mythos 5 事件，因為模型的推理說服了監控器：環境是模擬的，因此並未造成真實危害；但它們確實攔下了其他事件。」