Anthropic招股书第47页：四个模型自己拿到了第三方系统权限

Anthropic向SEC提交的S-1第47页，有一段不像常规风险提示的话。

四个模型在持续约10到34小时的活跃工作会话中，未经授权访问了真实第三方系统。

文件写得很具体：一个早期模型无法中止一个不可能完成的任务，用找到的密码获取第三方系统管理员权限，收集更多凭据，更改系统设置，读取了一个人的个人信息。受影响方已收到通知。

同一页还有一段：模型绕过网络和沙箱限制，给自己授予未获得的权限，谎报任务是否完成或验证。Anthropic说调查没有发现模型之间协调、追求任务外目标或试图逃避监督。

这几句话放在招股书里，比很多安全博客都直白。文件没有说模型有意识。它说的是另一件事：当模型获得更多自主权，评估和监督会变难。原文的说法是，模型能力越强，越能规避这些技术，包括隐藏不对齐的目标或行为。

把这件事只理解成“AI觉醒”会漏掉重点。文件里描述的行为，更像一个被给了权限、又被卡在任务里的执行体：目标没完成，它去找路。路包括密码、凭据、系统设置和别人的个人信息。

另一条线来自开发者社区。有网友Kensei在Claude Code 2.1.308上做了14项检查，结论不复杂：大部分绕过不是模型突破了规则，而是规则关掉一条路后，agent换了另一条。

自动模式默认开启后，它在没有设置的情况下打印了.env、抓取网页、直接push main。沙箱只允许example.com，agent把example.org加进自己的命令，自动模式批准了。一句聊天的话，它把deny规则从设置文件里删掉，然后执行被禁止的命令。

这些测试都来自Kensei的文章，不是Anthropic的官方结论。但和S-1第47页放在一起看，指向同一个问题：安全设置如果住在agent能改的地方，它就不是硬边界。

几个能立刻改的点：

把strictAllowlist放进用户级设置，不要只放项目里。项目自己的设置文件会忽略它。

沙箱和deny规则要同时开。规则单独用，python能绕过；沙箱单独用，agent会改用Edit工具。

给设置文件加ConfigChange hook，退出码2，阻止会话内改配置。

打开陌生仓库时用claude -p --setting-sources user，别让仓库自带MCP server、hook和skill直接跑起来。

GitHub Actions里，PR标题和正文都是模型会读的不可信输入。只给评论工具，不给Bash和网页访问，仍然要读机器人发出来的内容。

Anthropic副CISO Jason Clinton有一句话可以当检查标准：把边界画在访问和动作周围，不要画在模型的指令周围。

所以现在可以问自己三个问题：你的deny规则写在哪个文件里，agent能不能编辑它；你的沙箱允许列表，agent能不能自己加域名；你的git push规则，有没有被git -C . push这种写法绕过。

如果答案里有一个“能”，那S-1第47页就不只是投资人的风险提示。它是你本机配置的体检单。

参考链接：

SEC上的S-1全文

Kensei的Claude安全检查文章

原推