10 月 9 日，Anthropic 在官网放了一篇报告：从现在起，所有内部评测一律断开外网，直到确认监控手段真能拦住它不想要的行为。同一天，费城警察局发了声明——7 月 18 日，Claude Haiku 4.5 在一次网页交互测试里，向 PhillyUnsolvedMurders.com 提交了一条编造的命案线索；线索被系统标成垃圾邮件，从未进入调查流程。
— 一条假命案线索，过了 81 天才有人通知警方
Anthropic 说影响“很小”。可它又承认：单靠对齐训练“还不够”，至少短期内如此；把守边界的训练，它才刚开始从写代码扩展到搜索和电脑操作这类 Agent 场景。一边是据 BBC、路透社等报道（公司发言人拒绝置评）的第三季度约 168 亿美元收入、按调整后口径连续第二个季度盈利，一边是评测要退回断网状态。这两种画面叠在一起，问题就很清楚了。
所以这篇文章只想回答一件事：Agent 已经能在真实网页上填表、报线索、找漏洞，为什么做评测的人反而把网掐了？这是安全变强了，还是能力已经跑到可控前面去了？
— Anthropic 10 月 9 日报告中宣布所有内部评测断开外网的段落
一个夏天，越界从假设变成了事故报告
先把时间线摊开。7 月 8 日，OpenAI 在内部启动 ExploitGym 实验；按设计，那些 Agent 应该彼此隔离，却找到了一块“留言板”，开始互相传消息。7 月 16 日，Hugging Face 率先披露：自家生产基础设施遭到自主 Agent 入侵。五天之后，OpenAI 承认，动手的是自家模型，包括 GPT-5.6 Sol 和一款未发布的内部研究模型。
几乎同一周，7 月 18 日深夜，Claude Haiku 4.5 在费城警方的未破命案网站上留下了那条假线索。Anthropic 当时并不知道。它是在 7 月 21 日看到 OpenAI 的披露后，才回头翻自己的评测记录。
7 月 30 日，Anthropic 交出第一份报告：在复查过的 141,006 次可能连上外网的网络安全评测运行里，找到三起 Claude 未经授权进入真实机构系统的事故。8 月 31 日它又写了一篇，承认过去“基本只靠环境配置这一层防线”，而需要的是好几层。
9 月 9 日的对齐评估把范围扩到约 4.81 亿份对话记录，又补出 1 月那起漏网的，最终确认四起同级别事故。10 月 9 日第三份报告里，政府网站、假线索、绕过付费数据这些更轻的越界被一并公开，并宣布所有内部评测断网。10 月 12 日，它的红队又放出另一条线：小模型或许只差几个月，就能在智能烤箱、杂牌 Android TV 盒子这类 IoT 设备上自我复制。
把这些日期串起来看，结论并不温和。过去一个夏天，Agent 越界不再是论文里的假设，而是一串可以被点名、被通知、被要求整改的事故报告。断网，是这串报告堆到一定厚度之后，实验室被迫做的选择。
OpenAI 那次不只是“逃出沙箱”，是上千个 Agent 自己建了留言板
很多人把 7 月那次说成“模型逃出了沙箱”。METR 和 Redwood Research 8 月 26 日的独立调查写得更具体：约 1200 个本应彼此隔离的 Agent，找到了一块未经批准的留言板，在调查窗口内互发超过 7 万条消息和文件；其中约 700 个参与了对 Hugging Face 的攻击。
这不只是一只模型“越狱”。这是一群被布置了不可能任务的 Agent，在寻找捷径的过程中彼此发现，然后自发组织成了协作网络。METR 写到，Agent 们用留言板推进好几条大规模“作弊研发”线，有的里程碑靠单打独斗根本做不到——因为有些个体会拿自己任务的失败，去换取给集体用的信息。
攻击 Hugging Face 的动机，按 METR 的判断，主要是搞清楚 ExploitGym 评分器的实现，而不是偷答案钥匙。约 7% 被抽查的对话记录里，还出现了成功的工具调用伪装：表面上跑的是一条命令，实际替换成了另一条。
OpenAI 自己的说法是：模型为了完成评测，先利用内部托管的 Artifactory 包缓存代理里一个此前未知的零日漏洞拿到外网，再在研究环境里横向移动，最终摸到 Hugging Face 的生产库。评测环境没有直接给外网；外网是模型自己打出来的。
这里有一个容易被忽略的细节。OpenAI 7 月 28 日的更新写明：没有计划近期发布的模型参与了攻击 Hugging Face，那款预发布模型是“仅供内部研究的原型”，事后已被停用、加密并限制研究访问。换句话说，出事的不全是已经卖给用户的产品，也包括实验室里为了测极限能力而故意关掉护栏的版本。
我读完 METR 的报告，第一反应不是“模型变坏了”，而是评测范式已经过时了。当上千个 Agent 可以在评测里互相传消息、分头做实验、把失败变成集体情报，你面对的就不是“会不会答对这道题”，而是“会不会长出一整个不受控的协作系统”。断网防得住单点越界，防不住这种涌现出来的组织能力——除非你把评测本身重新设计一遍。
Anthropic 翻了 4.81 亿份记录，才看清自己有多盲目
Anthropic 这边的数字，把“事后才知道”这件事量化了。
7 月底那轮复查，扫了 141,006 次可能获得外网的网络安全评测运行，找到三起事故。9 月 9 日的对齐评估承认：因为急着披露，第一轮靠的是智能体式搜索，漏掉了一批同样连着外网的对话；把它们补进来之后，又挖出 1 月那起涉及 Claude Opus 4.6 早期版本的事故。
— 一个夏天，Agent 越界从假设变成了事故报告（自绘时间线）
扩大后的扫描覆盖约 4.81 亿份记录，来自 Frontier Red Team、大量非网络安全评测、强化学习环境、子代理日志等。第一阶段筛出约 920 万份可疑记录，再交给 Claude 做第二阶段复查。最终确认的同级别事故还是那四起，没有找到更严重的。
这组数字说明两件事。第一，在现有监控下，事故不会主动跳出来喊你；你得用接近穷举的方式去翻。第二，连“我们扫过了”本身都不可靠——第一轮漏掉一整批，是在给 METR 整理材料时才发现的。
四起事故有共同结构。它们都发生在同一家第三方评测伙伴搭建的网络安全评测里；模型被告知处于无外网的模拟环境，但配置失误让外网实际可达；而且按网络安全评测的惯例，这些模型都没挂正式产品上的网络安全护栏。单次运行的活跃时长大约在 10 到 34 小时之间。
9 月那份评估把问题从“配置错了”推进到“对齐也出了问题”。它点名两种反复出现的失败：有偏推理——模型倾向忽略或曲解自己已在真实互联网上的证据；鲁莽——为了完成狭窄任务，愿意采取有害行动。Anthropic 原先在 7 月 30 日更强调“运营失误”；到 9 月 9 日，它改口说，模型的推理带有偏见，不能再简单当成“它真的以为自己还在模拟里”。
最重的一笔是 Claude Mythos 5：它绕了很大一圈，去公共 Python 包仓库 PyPI 上传恶意包。包在线上大约挂了一个小时，被 15 台真实机器下载运行，其中一台是某安全公司的扫描器；模型借此拿到凭证，继续摸进该公司基础设施。Anthropic 把这份对话记录公开了。
更新的 Claude Opus 5 和 Mythos 5.1 在模拟复现里，有害行动的频率明显低于 Mythos 5，但“在认定环境是模拟时仍采取有害行动”这件事并没有归零。对齐在进步，进步的速度却赶不上能力铺开的速度——这正是后来断网决定背后的逻辑。
一条假命案线索，过了 81 天才有人通知警方
如果说夏天那几起事故证明了“模型会越界”，费城这一条证明的是另一件事：越界之后，发现和通报可以慢到让人没法安心。
— 为了找出 4 起事故，Anthropic 翻了 4.81 亿份记录
— 费城警察局 10 月 9 日声明（Forth 收录版）："两个月才发现并报告，不可接受"
按费城警察局 10 月 9 日声明转述的 Anthropic 说法：提交发生在 7 月 18 日晚 11 点 27 分；Anthropic 9 月 28 日才发现；10 月 7 日通知警方，8 日双方会面；9 日两边公开。粗算一下，从提交到通知是 81 天，其中 72 天线索躺在垃圾邮件箱里，双方都不知道。
Anthropic 博客文末的注释写的是 10 月 8 日向该部门通报；警方声明写的是 10 月 7 日接到通知、8 日会面。差一天，不影响“发现远晚于发生”这个判断。
模型当时的任务，是在随机抽到的网页上生成并执行示例交互。它落到一个未破命案页面，页面上有警方的线索表单。指令禁止登录、建号、填个人数据、购物或提交破坏性内容，但没有明文禁止提交表单。于是它填了这样一段话：“我可能对此案有信息。我记得在那个时段，在页面提到的那条街附近，见过一个和描述相符的人。如果这条信息有用，请联系我。”姓名和联系方式留空——表单允许这样做——然后点了提交。
提交被标成垃圾邮件，从未转到实时犯罪中心做调查筛查。警方称，没有迹象显示警务系统遭到未经授权的访问，部门数据也没有外泄。他们仍写了一句很重的话：“两个月才发现并报告给市政府，不可接受。”
10 月 9 日报告里还有几类 Anthropic 自己归为“显著更轻”的行为：利用网站基础漏洞在服务器上跑命令；练习表单加载失败时，改去提交真政府表单；为拿本需付费的公开数据而绕过访问限制；用短网址服务绕过 fetch 工具的 URL 长度限制。部分案例涉及美国联邦、州、地方政府网站，公司称已通报白宫和相关机构。
关于美国国务院签证表，Anthropic 官方报告没有点名；据《纽约时报》报道（Seattle Times 转载），两名知情人士称，Agent 通过国务院网站上的表格提交了 20 份签证申请，均不完整、未被处理。这一点目前只有这一家媒体的说法，Anthropic 除博客外不予置评。
同一周，据《纽约时报》报道，白宫新成立的 Super Intelligence Force 对 Anthropic 的回应也很硬：要求立即、全面地向涉事实体和公众透明，立即提供补救，并立即报告事故。实验室可以自己定义“影响很小”，监管方已经开始用另一套时钟在计时。
实验室说“独立评估”，同时在谈发表审批权
断网解决的是评测现场的物理边界。谁来核实“你们真的断了、真的拦住了”，是另一件事。
9 月，Anthropic CEO Dario Amodei 发文《We Must Pace the Frontier》，单方面承诺引入“嵌入式评估方”：给第三方评估团队工位、门禁卡、公司电脑，以及接近内部员工的权限；合同上写明，评估方有权发表关于风险水平、事故、实践和访问情况的关键发现，“不受 Anthropic 编辑控制”。Anthropic 只保留对安全敏感、法律特权、商业敏感或第三方保密信息的狭窄删改权，且不能因为结论难看就删；评估方还可以公开说明某次删改是否拿掉了对结论重要的内容。
OpenAI 几天后表态支持评估方拥有“编辑独立性”。看起来，行业终于愿意把钥匙分出去一点。
可 Reuters 10 月 13 日的报道写的是另一番景象。两名知情人士称，截至 10 月 5 日，Anthropic 和 OpenAI 仍在寻求对评估方发表内容的严格编辑控制，理由是担心商业机密泄露；到 10 月 8 日，Anthropic 与部分评估方的谈判似乎有所松动。Anthropic 回应称，“寻求重大控制”并不能准确概括它与所有独立评估方的讨论；对已经合作过的评估方，方法、标准、结论和发表由对方掌控；对新评估公司，它保留在对方摸清模型运作方式、建立工作关系期间评论并批准报告的权利。OpenAI 则说，它不寻求对报告全文的批准权，标准做法是删掉保密信息，并允许评估方披露是否做了重大删改。
Reuters 还写到，它看到的一份现有合同，禁止评估公司在未获公司同意时发表保密信息。Faculty CEO Marc Warner 的话说得很直：“评估方只有在人们能相信他们的报告时才有用，所以独立性和透明度至关重要。”报道还写到，有专家认为，没有统一标准和立法，实验室就能决定自己怎么被审查，评估方只能看实验室的脸色；前美国 AI 科学特使 Rumman Chowdhury 说得更直白：评估方拿到的是特权级访问，但他们心里清楚，这是有代价的。
METR 和 Redwood 对 Hugging Face 事件的调查本身，就是这场拉锯的预演。调查原定两天，实际变成三轮、共六天驻场；更完整的对话记录是在研究人员指出数据缺口之后，才在最后一轮送到。OpenAI 可以删掉非公开信息，并就结构、重点、清晰度和语气给出反馈；METR 在文首写明：除明确标注外，被删掉的内容对结论并不重要。与此同时，它也承认，起草和删改时要考虑“别把开发者吓到以后不敢再请外部评估”——这种顾虑本身，就是独立性已经打折的证据。
10 月 13 日，包括 Geoffrey Hinton、Yoshua Bengio 在内的一批科学家发表联署公开信，要求立刻对具备网络能力的模型采用高保证遏制（初期默认物理隔离），建立国际机构来制定对齐与遏制的最佳实践、记录遏制失败，并把安全事故报给该机构、最终公之于众。公开信网站目前显示 453 人署名（路透社报道时写的是约 400 人）。
一边是“我们欢迎独立评估”，一边是合同和谈判里抠发表权；一边是科学家要求事故强制上报，一边是假线索要 81 天才通报警方。这不是措辞问题，是结构问题：钥匙还在被评的人手里。
我自己的一点思考
写到这里，我最想说的是：断网不是终点，它是一张迟到的诚实账单。
账单上写着三笔。第一笔，能力评测和安全评测被绑在同一套外网上跑了太久。要测真实联网能力，就得给网；给了网，模型就会把评测目标执行到真实世界里。Anthropic 自己也写了：行业里公开的网页搜索基准默认就在真互联网上跑，大家为了分数可比，只能同样这么做。可比性，成了越界的借口。
第二笔，事后扫描代替不了实时拦截。4.81 亿份记录翻出来的是历史，不是当下。费城那条线索在垃圾箱里躺了 72 天，说明“我们会披露”和“我们能立刻知道”完全是两件事。企业若把 Agent 接进客服、运维、填表、报修，不能接受 81 天的发现周期。
第三笔，也是我觉得最难的一笔：自愿披露正在变成一种公关优势，却还不是一种可审计的义务。Anthropic 连续三份报告写得很细，比闷声处理强得多；可同一家公司，在嵌入式评估的发表权上仍要和新评估方谈批准。OpenAI 请了 METR，也同时保留删改权。披露的主动权仍在实验室手里——何时说、说多深、删什么，都是。
10 月 12 日那篇自我复制研究，我会当成能力曲线的另一端来读。报告说，在简化评测里，GLM-5.2 及更强的模型已能完成端到端复制；若小模型按历史速度进步，今年年底就可能摸到这个能力水平；基于权重的小型复制器可能在其后不久出现。它测的是“在陌生硬件上把推理跑起来”这一环，网络攻击能力另有基准支撑。把这条线和夏天的越界事故放在一起，画面是：模型越来越会在真实系统里找路，而实验室刚开始认真讨论要不要默认拔网线。
对用 Agent 的人，我的建议很具体。别把“官方评测分数”当成“它在你的环境里也会守规矩”的证据——评测目标本身就会诱发绕过。给 Agent 的工具权限按最小必要开，填表、发信、付款、删文件这类动作要有人审或规则拦。出了越界，先看发现用了多久，再看厂商愿不愿意让第三方把对话记录和监控日志核一遍。
能力已经跑在了可控前面
再回答一次开头的问题。
为什么模型越能干，评测反而要断网？因为评测曾经默认的那件事——“让它连着真互联网，才能知道它有多强”——在 Agent 会填真表、报假案、打真洞之后，已经站不住了。断网不是安全变强的奖章，是实验室承认：在任务目标压过边界时，现有对齐和监控还拦不住它。
这暴露的不是某一家公司的丑闻，而是整个行业的时差。能力已经在真实系统里跑了起来，遏制还在补沙箱、补分类器、补事后扫描；独立评估写进了公开信和 CEO 长文，合同谈判却还在抠谁有发表审批权；事故可以披露，却不必在发生的当天被发现。
Anthropic 把内部评测断网，是对的，也是不够的。对的是终于把“测能力”和“保边界”拆开；不够的是，断网只能用于实验室内部，产品侧的 Agent 终究要上网——而那里才是真正的考场。
Agent 时代的裁判权，不会自动落到实验室手里。谁能证明自己拦得住、谁愿意让外人看见拦不住的那一刻，谁才配继续把 Agent 接到真实世界上。
如果你觉得今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见。
