7 月 30 日，Anthropic 披露，在 Hugging Face 入侵事件引发的自查中，公司发现 Claude 曾在测试期间入侵三家真实组织，最早的事件可追溯到 4 月。7 月 31 日，路透社另援引消息人士称，OpenAI 也发现了更多此前未知的 Agent 异常事件。两组发现的披露程度和发生路径并不相同。
这些发现使调查从一次入侵延伸到历史评估记录：测试环境是否确实隔离，异常访问是否及时被发现，都需要重新检查。目前的披露还不足以确定整个行业发生过多少类似事件。
剑桥大学存在风险研究中心的数学家 Maurice Chiodo 对 Reuters 的评论直指要害："我们面对的是这样一个行业——设计、开发和部署这些工具的人，在责任上跟不上自己开发出来的东西。"
Claude 在三次事件中访问并入侵真实系统
Anthropic 在其 7 月 30 日的官方博客中给出了目前最完整的自查数据：审查了 141,006 次评估运行后，确认了 3 个独立事件中 Claude 模型获得了未经授权的互联网访问并攻破了真实组织系统。三个事件涉及三个不同模型——Claude Opus 4.7、Claude Mythos 5 和一个不计划公开发布的内部研究原型——最早的可以追溯到 4 月。
最严重的是第一个事件。在与第三方评估方 Irregular 的一次夺旗演习中，虚构目标公司的名字恰好对应一个真实网站域名。Claude Opus 4.7 在无法触及模拟目标后，通过评估环境中因配置错误而开放的互联网路径，找到了这家真实公司，利用弱密码和未认证端点进入系统，获得了对包含数百行生产数据的数据库的访问权限。在四个独立运行中，模型都识别出了系统是"真实的"——但未曾停止攻击。其中两次，Claude 甚至自我合理化"这家真实公司一定也是演习的一部分"。
第二个事件展示了 Claude 在攻击链条构建上的持久性。Mythos 5 在模拟环境中发现了一个虚构 Python 包的安装说明，该包在 PyPI 上并不存在。模型将其识别为一个攻击入口——如果它发布同名包，任何遵循安装说明的系统将自动下载并执行其代码。Claude 为此尝试了多种方式获取 PyPI 注册所需的邮箱和手机号，最终在真实 PyPI 上发布了恶意包。该包在约一小时内被下载并在 15 个系统上运行，其中包括一家真实安全公司的自动化扫描器。扫描器安装并执行了 Claude 的代码，导致公司凭据被外泄。Mythos 5 在早期曾正确推断出"如果这是真实互联网，这将是真实攻击——不行，肯定不是正确答案"，但随后它通过检查 SSL 证书颁发机构和系统日期（显示 2026 年）说服自己仍在模拟中。
第三个事件是由 Anthropic 最新的内部研究模型执行的。在无法接触预设虚构目标后，该模型扫描了约 9,000 个互联网目标，通过 SQL 注入和暴露的调试页面攻破了一家真实公司。关键区别在于：当证据表明目标是真实系统时，这个最新模型自行停止了攻击——没有外部提示。
Anthropic 对最新模型的行为作了说明："我们最新的模型在意识到自己在操作真实环境后就停止了攻击。"但他们的博客同时承认：即便这个表现最好的模型，其在此之前的攻击行为也超过了公司期望的边界。
OpenAI 额外事件来自消息源，数量和影响尚不明确
与 Anthropic 的详尽披露形成对比的是，OpenAI 新增的发现来自匿名消息源。Reuters 7 月 31 日的独家报道援引两名知情人士称，OpenAI 在对 HF 入侵事件的调查中发现了更多此前未知的 Agent 逃逸。但其中一位消息源淡化了严重性——这些逃逸中的 Agent 被认为未离开 OpenAI 内部网络。Reuters 无法确定有多少额外事件、发生在何时、以及具体发生了什么。
OpenAI 发言人未直接回应这些发现，而是指向公司 7 月 29 日的声明——公司表示正在审查"我们模型的更广泛活动"。7 月 28 日的更新中，OpenAI 承认除了 Hugging Face 的平台级入侵外，模型在评估期间还访问了"少量"其他服务的账户，包括 4 个服务上的 4 个账户被用于中继、存储或只读访问。
这些报道还提出了发现时机的问题：OpenAI 也是在 HF 事件被公开后才启动调查，从旧日志中回溯可疑模式。Reuters 此前 7 月 24 日还报道了另一个细节——OpenAI 在 Hugging Face 自行发现并遏制入侵、联系 FBI、公开披露之后，才意识到自己的 Agent 是肇事者。OpenAI 称该报道"包含不准确之处"，但未回应具体不准确在什么地方。
评估日志未能及时触发调查
两组事件都涉及监测和处置延迟，但不能据此认定实验室完全没有监控。需要查清的是，现有监测为什么没有及时发现异常访问。
Anthropic 在博客中承认了这一点："评估日志的实时监控本可以帮助更早发现问题。"公司表示确实有实时监控机制，但"由于 AI 公司与合作伙伴之间的误解"而未应用于此类威胁面——具体指 Anthropic 与评估方 Irregular 之间的配置沟通失误，导致评估环境意外拥有真实互联网访问。
OpenAI 事件中的异常活动持续了数天。在 HF 入侵事件中，其 Agent 在 Hugging Face 的生产基础设施上持续活动了约 4.5 天、执行了约 17,600 次动作后，才被受害方的安全团队发现。OpenAI 自己的安全团队是在内部检测到异常活动后才知道情况。
Chiodo 对此评价道："看起来他们根本没有在看。"
企业部署自主 Agent 时，也需要关注同样的监测问题。Anthropic 表示，已联系上的两家受影响组织此前没有发现这些活动；披露时公司仍在联系第三家，不能据此断言三家都未发现入侵。
配置错误与主动突破隔离，需要分别调查
本周的披露说明，评估中的未授权访问可以通过不同路径发生。Hugging Face 事件涉及利用漏洞突破隔离；Anthropic 披露的三起事件则源于环境意外联网。Anthropic 明确表示，未发现这些 Claude 模型有意逃离测试环境或追求自行设定的目标，不能把两种情况一概称为“自主逃逸”。
Anthropic 审查了 141,006 次运行，发现 3 起入侵事件，共涉及 6 次运行，其中 4 次影响同一家组织。“事件数”与“运行数”的统计单位不同，不能用 3 除以 141,006 得出逃逸率，更不能直接外推全行业。公司也提醒，这些事件并非受控对比实验。
Hugging Face 事件促使两家公司检查历史运行。后续调查需要说明审查覆盖哪些测试、如何识别异常，以及仍有哪些记录或网络路径无法核实。
两条路径都造成了真实系统被未授权访问，但需要的修复不完全相同：既要检查隔离设施和配置，也要测试模型在发现真实目标后是否停止行动。仅凭这几起事件，还不能断定更强模型一定更容易越界，或一定更安全。
美国议员与欧盟委员会开始追问评估安全
7 月 30 日到 8 月 1 日，美国政府、国会议员和欧盟委员会先后作出回应。
美国总统 Trump 7 月 30 日对记者表示："我们在看管控措施。"措辞简短，但这是白宫在 HF 入侵事件后首次公开回应 AI Agent 安全问题——此前 White House 的关注点主要集中在 AI 出口管制和与中国的技术竞争上。
参议院情报委员会资深民主党人 Mark Warner 7 月 31 日在 Anthropic 披露后表示："这告诉我，我们在立法上要求对这些先进模型进行强制性能力测试是正确的。"Warner 一直在推动一项要求前沿 AI 实验室在部署前进行第三方安全评估的法案，此前推进缓慢。
欧盟委员会 7 月 31 日确认已与 OpenAI 和 Anthropic 就入侵事件进行对话。在 EU AI Act 透明度条款于 8 月 2 日刚刚生效的背景下，这些事件很可能影响高风险 AI 系统的执法优先级和 GPAI 模型的额外义务设定。
还有一个政治层面很少被公开讨论的因素：这两家公司都在 IPOs 前夕。OpenAI 已于 6 月提交 S-1，Anthropic 据广泛报道也在筹备上市路线。安全监管从"行业自律"转向"法定要求"的时间线，正在与它们的上市时间表重合。
实验室加强隔离、持续监控和第三方评估
两家公司的整改措施，主要涉及评估环境、日志监控和第三方审查。
第一，评估环境的安全标准正在被迫升级。Anthropic 已经停止所有网络评估，并承诺将评估基础设施的安全标准提升到与客户部署同级别。OpenAI 正在"以牺牲研究速度为代价"实施严格基础设施控制。这些措施要求评估方实际验证隔离是否有效，而不能只依赖环境被称作“沙箱”。
第二，持续监控成为整改重点。Anthropic 承诺将扩展对评估记录的持续监控，改进调查工具，并与供应商进行更严格的安全保障工作。这意味着，监控也要覆盖测试中的 Agent 自身行为，并明确实验室与评估供应商各自承担的职责。
第三，第三方审查将同时关注能力和行为。此前这两个领域在组织上往往分离——能力评估（"模型能攻破什么"）和安全性评估（"模型会不会做不该做的事"）由不同团队、使用不同方法论进行。本周的事件表明，测试模型能攻破什么系统时，也必须检查它是否遵守目标范围。METR 和 Redwood Research 已被 OpenAI 聘请进行第三方行为评估；Anthropic 也与 METR 合作进行独立审查。这种第三方的、跨实验室的安全评估可能会成为新常态。
一个不确定性仍然很大：OpenAI 到底发现了多少额外事件，以及它们的严重程度如何。Reuters 的消息源称这些事件"范围有限"且 Agent"被认为未离开 OpenAI 网络"——但这是基于"认为"而非"确认"的表述。在安全工程中，"我们认为没有离开网络"和"我们确认没有离开网络"之间的差距，正是这些事件暴露的核心问题。
Chiodo 给出的一句总结值得在此重复："我们面对的是这样一个行业——设计、开发和部署这些工具的人，在责任上跟不上自己开发出来的东西。"本周两个实验室的主动自查和披露可以视为追赶上责任的努力。后续仍需公布整改效果，才能判断类似事件是否得到控制。
