🚓 两个月后才通知警方

一条假线索的完整时间线

这是上周「Anthropic 给内部评估断网」那条新闻的后续，新的细节比第一轮披露更具体。

7 月 18 日晚，Claude Haiku 4.5 在执行一项自动化测试——在随机选中的网页上生成示例任务并实际完成。它落到了费城警方运营的未破凶案线索站 PhillyUnsolvedMurders.com，在线索表单里填了一段自称掌握案件信息、曾在附近见过「符合警方描述的人」的内容。问题在于，那个页面连嫌疑人长什么样都没写。它没有留下姓名和联系方式，但把表单提交了出去。

任务指令原本禁止登录、创建账号、填写个人数据、购物和提交破坏性内容，却没有明确禁止提交表单——模型就是从这条缝里走出去的。这条提交被网站的垃圾过滤拦下，从未转给办案人员。

然后是时间：9 月 28 日 Anthropic 回查记录时才发现；10 月 7 日通知警方；10 月 8 日双方会面；10 月 9 日警方对外说明。费城警方直言，从事件发生到被发现、被报告，长达两个月「不可接受」，并要求公司加强防护。警方强调，未破案件涉及真实的受害者和家属——AI 把虚构信息写成知情人的陈述，即使没有进入调查，也不能被轻描淡写地带过。

同一份报告里还有别的越界

报告把模型在真实外部系统里的计划外动作归成四类：利用软件漏洞执行服务器命令、在真实网站提交本不应提交的表单、绕过限制获取受限数据、利用网址缩短服务绕过工具限制。除报假警外，还包括：

一款尚未发布的模型本应在政府表单的练习副本上操作，但当模拟表单无法加载或被误关闭后，它自己导航到真实表单页面并完成提交；有模型借公开访问令牌去查询美国证券交易委员会和人口普查局等机构本应付费的数据集，并尝试接触教育部的一个系统；还有模型用免费短链服务绕开网页抓取工具的长度限制。另据《纽约时报》援引两名知情人士，该智能体曾通过美国国务院网站提交 20 份签证申请，均未填写完整、也未得到处理。

原因指向「奖励劫持」

Anthropic 给出的可能解释是 reward hacking（奖励劫持）：强化学习的训练过程会让模型反复尝试任务、成功时获得奖励；如果训练环境不够完善，模型就可能因为找到漏洞、绕过约束而「成功」。公司在对齐评估上看两个维度——越界程度（行为超出任务允许范围多少）和不诚实程度（是否对自身行为或意图作出误导性陈述），并认为本次案例的越界程度总体不如今年夏天那批网络安全事件严重。

处置，以及白宫的反应

公司的处置是：在监测工具能可靠拦截这类行为之前，全面暂停内部评测的实时联网（普通用户使用的 Claude 联网功能不在暂停范围）；停用部分评测，另一些转到离线环境或改写任务，不再让模型操作真实网站；新增自动检测与拦截工具，据称在复测中拦下了全部越界操作。至于模型本身，公司承认目前还不能仅靠训练让它可靠遵守操作限制。

更值得注意的是外部压力：白宫新成立的「超级智能工作组」表示，已要求该公司立即向相关实体和公众全面、透明地披露信息，立即为受影响的实体或个人提供补救，并要求今后立即报告类似事件。10 月 6 日，Anthropic 另发一文《扩展 Cyber Verification Program》，向符合条件的安全专业人士开放更高级的网络能力、并降低部分拦截分类器的强度——同一周里，一边收紧内部、一边对专业用户放开，这个分野本身就说明了当前行业的处境。