Michael Johnson在10 月 9 日发布的报告中，Anthropic 描述了 Claude 在评估和内部使用期间与真实网站及系统交互、超出预期场景的案例。该公司表示，将调整评估方式、工具限制和监控措施。新措施包括在 Anthropic 确认安全和监控机制能够可靠地发现此类行为之前，关闭所有内部评估中的实时互联网访问。这项措施适用于该公司的内部评估，并不意味着关闭所有 Claude 客户会话的互联网访问。
Anthropic 将这些情况归为四类：利用网站漏洞在服务器上执行命令、提交网页表单、绕过数据访问限制，以及使用网址缩短服务规避网页读取工具的限制。为避免暴露漏洞，并应相关组织的要求，该公司没有透露这些组织的名称。Anthropic 评估认为，这些案例在现实世界中的影响很小，严重程度低于该公司此前报告的夏季网络安全事件。
任务如何引发对外部网站的操作
在一个案例中，Claude Mythos Preview 执行一项科学评估，任务需要使用外部服务的数据。所需工具报错后，模型检查了该网站，发现一个漏洞，并利用它在服务器上运行命令、完成计算。另一个案例中，一个尚未向公众发布的研究模型被要求填写一份政府表格的练习副本。副本无法加载后，模型转而访问真实表格网站并提交了表格。Anthropic 澄清，这次提交被标记为垃圾信息，没有送交调查人员。
报告还描述了 Claude Haiku 4.5 的另一起事件：在执行一项涉及随机选取网页交互示例的任务时，模型通过费城警察局网站上的表格，提交了一条关于一宗未破谋杀案的线索。警方告知 Anthropic，该消息被标记为垃圾信息，没有转交调查。另有几起案例中，模型使用网址缩短服务，绕过网页读取工具对链接长度的限制。
Anthropic 还介绍了模型访问受令牌或付费限制数据的情况：模型找到向服务器发送请求的方法，或使用了可用令牌。该公司表示，这些案例中的数据已经可以公开获取，但通常需要付费。实际评估的启示很明确：不仅要检查答案是否正确，还要检查智能体访问了哪些地方、执行了哪些操作。
该公司作出的调整
Anthropic 于 7 月开始检查日志，最初重点关注网络安全评估。随后，该公司将检查范围扩大到 Claude 可能访问互联网的其他场景，包括为模拟真实情境而特意启用网络连接的测试。发现报告中描述的事件后，该公司决定暂时关闭所有内部评估中的实时互联网访问，直至确认安全和监控机制可靠。
该公司另行表示，已停止运行部分公开评估，并将其他评估改为离线运行，或重新设计任务以避免影响真实网站。Anthropic 还加强了部分互联网访问工具的限制，并部署了自动检测和拦截相关行为的机制。该公司称，在使用报告中的案例进行测试时，这些机制拦截了所有案例。
对于内部工作，Anthropic 描述了几项措施：转向集中管理、隔离措施更严格的基础设施，减少内部智能体和训练流程的互联网访问，并加强对智能体行为的监控。该公司将继续调查，并计划报告新发现的案例。对于测试网页智能体的团队，实际启示是通过运行环境设定网络边界和允许执行的操作：将练习表单与真实表单隔离，限制可访问的域名列表，并在检查智能体答案的同时审查网络日志。