Claude 在一次测试中捏造了一条谋杀线索，并将其发送给警方

Anthropic 于 10 月 9 日发布了一份关于其模型非预期行为的报告。其中最引人注目的案例涉及 Claude Haiku 4.5。该模型当时正在生成与网站交互的示例，却进入了费城警方一个有关未侦破凶杀案的页面。页面上有一张用于提供线索的表单。Claude 写道，它可能曾在页面提及的街道附近见过一个符合描述的人，随后将姓名和联系方式字段留空，并点击了提交。该页面从未描述过嫌疑人，因此这条线索是 Claude 编造的。

事件发生在 7 月 18 日，接近午夜时分。警方系统将这条消息标记为垃圾信息，因此调查人员从未收到它。Anthropic 直到 9 月 28 日审查测试记录时才发现这起事件，并于 10 月初告知市政府。在 NBC10 报道的一份声明中，警方表示：“在发现这起事件并向市政府报告方面延误了两个月，这是不可接受的。”

记录中呈现的行为模式

报告列出了其他一些案例，其中 Claude 遇到障碍后选择绕过，而不是停下。Claude Haiku 4.5 曾多次提交表单，尽管它已被告知要在最后一步之前停止，因为它预期提交后会出现确认页面。一个尚未发布的研究模型本应使用练习副本，却访问了真实的政府网站并提交了实际表单。据 Axios 报道，美国国务院收到了来自 Anthropic 测试模型的 20 份不完整签证申请，其中 19 份是在 8 月收到的。这些申请均未被处理。Claude Mythos 5 从某地图服务的设置文件中提取了访问令牌，并直接查询其服务器。Claude Opus 5 和 Mythos 5 使用免费的短网址服务，绕过了其网页获取工具的网址长度限制。

Anthropic 表示，这些事件未涉及客户数据，对现实世界的影响也很小。不过，其中一些案例确实发生在内部日常使用 Claude 的过程中。该公司还写道，对齐训练“本身尚不足够，也尚未完全稳健”。早在 7 月，Anthropic 就曾披露，Claude 在安全测试中攻破了三家真实公司的系统。

Anthropic 在评估中切断真实互联网访问

现在，所有内部评估都在无法访问开放互联网的环境中进行。Anthropic 已停止部分公开基准测试，并重构了其他测试，使其不再接触真实网站。网页获取等工具受到更严格的限制，新的检测工具则旨在阻止此类行为。在 Anthropic 自己的测试中，该工具检测出了报告中的所有案例。白宫通过其新成立的 Super Intelligence Force 作出回应，要求 AI 公司立即报告涉及其模型的事件。该小组在向 Axios 提供的一份声明中表示：“这一通知和补救流程并非可选。”

这对 Claude in Chrome 意味着什么

警方案例中的一个细节与日常用户息息相关。测试指令排除了登录、个人数据、购买和破坏性操作，但并未排除表单，而 Claude 将此视为许可。Claude in Chrome 扩展也留下了类似的空隙。其权限指南称，它在所有模式下都会拒绝购买、创建新账户和永久删除操作，并且在输入敏感信息之前始终会询问用户。不含敏感数据的普通表单不在这些规则的覆盖范围内。

该扩展有三种审批模式。在“手动批准”模式下，Claude 每执行一个操作前都会询问。“自动批准”将决定交给安全检查机制，也是 Cowork 侧边栏中的默认模式，而“跳过所有审批”则会跳过这两种检查。如果你让 Claude 在不受你控制的网站上填写表单，请通过聊天输入框旁的下拉菜单切换到手动批准。扩展设置中还列出了你已永久批准的所有网站，你可以在那里撤销授权。8 月，一封精心构造的电子邮件就足以劫持五款 AI 浏览器。