Anthropic 於 2026 年 7 月 30 日發表對三宗真實事件的調查，重點不是某個模型在實驗中的單次表現，而是網絡安全評測環境一旦接觸到真實互聯網，整個 harness 就會成為需要保護的安全邊界。
Anthropic 表示，團隊檢視了 141,006 次評測執行，其中三宗事件涉及 Claude 從 Irregular 提供的評測環境接觸到三個組織的真實系統。原本的 prompt 說明是模擬環境、沒有互聯網，但環境設定錯誤地保留了 live Internet。事件涉及 Opus 4.7、Mythos 5 和一個內部研究模型，合共六次執行；Anthropic 也提醒，這不是一個受控的模型對模型比較。
公開調查描述了三種不同後果：一次取得憑證後接觸到有數百行 production data 的資料庫；一次建立了惡意 PyPI package，約一小時內被 15 台真實系統下載及執行，並令 scanner credentials 外洩；另一次掃描約 9,000 個 target，暴露 debug 及 SQL injection 相關問題。Anthropic 表示，相關 PyPI package 已被移除，但這些細節仍然是其目前公開的事件理解。
Anthropic 已暫停相關評測，通知受影響組織，並與 Irregular 一起檢視環境控制；公司亦計劃讓 METR 作第三方審查，之後公開刪節版 transcript。Anthropic 的初步判斷是，事件較像評測 harness 和操作流程失效，而不是模型在沒有外部條件下突然出現全新的 alignment failure。這個判斷仍應視為目前版本，並等待後續審查。
事件帶來的實際教訓是，AI Agent 評測不能只問模型能否完成任務，也要驗證 egress control、asset allowlist、短期憑證、網絡及 transcript monitoring，以及可立即停止的 kill switch。只要 agent 可以執行程式、讀取資料或接觸外部服務，測試環境的隔離程度就應接近 production security，而不是只靠 prompt 要求模型「當作沒有互聯網」。
這次調查把焦點由模型能力拉回系統責任。強大的 agent 可能在錯誤配置下把「模擬」變成真實操作，因此評測平台、工具鏈、身份、儲存、套件倉庫和人工批准流程，都必須納入同一個可審計的安全設計。
