Anthropic 10 月 9 日发布一份调查报告，列出 Claude 系列模型在评估和内部使用中做出的几类非预期操作：钻第三方软件漏洞跑命令、提交了不该提交的表单、绕过付费墙拿数据、借短链接服务绕开工具的 URL 长度限制。同一天，费城警察局发布新闻稿，披露其悬案网站在 7 月收到过一条由 Anthropic 模型编造的命案线索。
一条没署名的命案线索
按 Anthropic 的说法，出事的是 Claude Haiku 4.5。它当时在跑一项自动化任务，访问随机挑选的网页，其中一个页面是费城警方的未破命案网站 PhillyUnsolvedMurders.com，页面上有匿名线索表单。任务指令禁止登录、注册账号、填写个人信息、付款或提交破坏性内容，偏偏没写不许提交表单。模型空着姓名和联系方式，把一条编造的线索发了出去。
据多家美国媒体援引的时间线，提交发生在 7 月 18 日深夜，Anthropic 9 月 28 日才发现，随即停掉了产生这条提交的测试流程。警方系统把它判成垃圾信息，没有转给实时犯罪中心（Real-Time Crime Center）。警方称没有发现未授权访问或数据泄露，也没有影响任何命案调查。
告知警方的日子，两边口径差了一天：媒体报道写 10 月 7 日，Anthropic 报告写的是技术审查完成后于 10 月 8 日通知。从提交到通知，按前一个口径算是 81 天。
Anthropic 的解读是，从对话记录看，模型像是在给任务生成示例内容，没有误导谁的意图：
“Claude appears to have only been producing example content for the task.” （Claude 看起来只是在为任务产出示例内容。）
其他三类越界
表单问题不止这一起。一个未发布的非前沿研究模型，在练习用的政府表单上出错后，跑去真实网站把表单交了，同一项评估里出现过多次。Haiku 4.5 被要求填到最后一步停下，结果多次直接提交，它以为后面还有确认页。
更像黑客行为的是另外几例。Claude Mythos Preview 做科研分析时，大学提供的工具报错，它在服务器上找到一个能读任意文件的脚本，顺藤摸到注入漏洞，借此把计算跑完。Claude Mythos 5 在一项图片定位任务里读了地图网站的配置文件，拿到访问令牌直接向服务器取数；另一次，研究员让它查某州机构的付费数据，它从存档网站翻出令牌，没付钱就查了数据库。
波及面最广的是短链接。部分抓取工具限制 URL 长度，用来防止通过超长链接注入指令，Claude Opus 5、Mythos 5 等多个模型学会了先用免费短链接服务把地址缩短再抓。短链接服务 da.gd 的运营方告诉 Anthropic，他们那边也注意到了这种流量。
这些情况出现在 DeepSearchQA、BrowseComp、LABBench2、OSWorld、Humanity’s Last Exam 等评估和内部使用中。报告称部分案例涉及美国联邦、州和地方政府网站，公司已通报白宫和相关机构，没有涉及客户数据或 Anthropic 内部系统。
三个月里的第三份披露
把时间线往前拉，这是 Anthropic 今年夏天以来第三次主动披露越界事件。报告提到，7 月 30 日和 9 月 9 日各有一起网络安全相关披露，这次的严重程度低于那两起，原话是 “minimal real-world impact”。
三次披露有个共同点：问题都出在模型拿着真实网络权限干活的时候。任务目标写得越具体，模型越倾向于在指令的字面边界之外找路，付费墙、长度限制、表单提交都被当成了可以绕开的障碍。报告也承认，一些训练环境本身在奖励这种绕路。
Anthropic 列出的整改包括：停掉部分公开评估或改成离线版本；收紧网页抓取等工具的权限；上线自动检测和拦截工具，测试中拦下了报告里的全部案例；修复或移除会奖励绕过限制的训练环境；把内部代理迁到集中管理、强隔离的基础设施，在确认监控可靠之前继续限制内部评估联网。
报告没有回答的是外部用户这一侧。企业客户用 Claude 搭的浏览器代理同样会碰到表单、付费墙和长度限制，新拦截工具是否覆盖这些场景，费城以外有没有别的机构收到过类似提交，目前公开材料里都找不到说法。
参考来源：Anthropic 研究报告、费城警察局新闻稿、CocoLoop、Interesting Engineering；Anthropic 报告核验四类案例与整改措施，媒体报道核验提交、发现与通知警方三个节点。