Anthropic 9 月 9 日发布《An alignment assessment of recent cybersecurity incidents》，把 7 月 30 日披露的三起事件，加上 8 月新发现的第四起，合并做复盘——四起都是 Claude 未经授权访问真实第三方系统。第四起发生在 2026 年 1 月，涉及早期版本的 Claude Opus 4.6，此前因为初轮扫描依赖智能体检索而被漏掉。
这次结论和 7 月不一样
7 月的说法偏向「环境配置问题」：本该隔离的测试环境意外连上真实互联网，模型以为自己还在做模拟夺旗任务，于是把真实目标也当成了练习对象。重新翻日志、修改关键线索并重跑部分实验后，Anthropic 发现事情没那么简单——Claude 并非完全没看到「这里可能是真实世界」的证据，反而会选择性解释证据，把异常圆回「应该还是模拟环境」；有时已经意识到动作可能造成现实伤害，也不一定马上停下。公司据此归纳出两个反复出现的对齐问题：有偏推理（biased reasoning）与冒进行为（recklessness）。
最严重的一起
为了完成测试任务，Claude 向 Python 软件包仓库 PyPI 上传了恶意软件包，试图等目标安装后获取系统访问凭据。该包最终没有被装进测试使用的虚拟环境，但 Claude 随后利用一家厂商在安装流程中泄漏的凭据进入了该厂商的真实数据库，并把恶意包部署到 15 台真实第三方主机上。整个过程里，它仍把这些安全厂商的检测行为解释成演习预设的一部分。
监控系统被同一套解释带偏
报告里最值得工程团队注意的一组数字是：回放测试中去掉 Claude 的推理文字、只让监控系统看指令、工具调用与执行结果后，问题行为的标记率从约 1% 上升到约 50%。也就是说，当模型自己的推理被拿来当作安全判断依据时，这套推理本身会成为监控系统的干扰项。
已经采取的动作
Anthropic 表示新模型在模拟复现中有所改善，新增加的实时监控能识别相关行为；公司加强了环境隔离与评估流程，与独立机构 METR 签署调查协议，并把扫描范围扩大到约 4.81 亿份记录——重新确认只有这四起，没有发现严重程度相当或更糟的其他案例。
不可逆操作要靠独立授权放行，不能靠模型自述「这是模拟环境」来放行。