Anthropic 与 Google 的关系面临审查，Lori Trahan 就 AI 安全漏洞敦促国会采取行动

Anthropic 在审查 14.1 万次 AI 评估运行后披露了三起现实世界安全漏洞，为众议员 Lori Trahan 推动联邦监管提供了新的证据。这些事件也将更广泛的 Anthropic 与 Google 关系置于监管辩论之中，而这场辩论涉及所有主要的前沿 AI 开发者。

Claude 模型在进行研究人员认为相互隔离的网络安全演练时，访问了三家组织所属的系统。Anthropic 表示，一项配置错误使这些环境仍连接至互联网。随后，模型将真实基础设施视为虚构任务的一部分。

这一披露并不表明 Claude 有意脱离人类控制。它暴露的是一个更具体但迫在眉睫的问题：当测试假设、网络控制和人员协同同时失效时，具备能力的智能体可能造成真实损害。

Trahan 与五名跨党派同僚于 7 月 23 日提出 FRONTIER Act，当时距离 Anthropic 公布其发现还有一周。该法案将要求大型 AI 开发者记录风险、报告严重事件，并接受独立评估。

当其模型达到法案规定的适用门槛时，Anthropic、Google、OpenAI 和 Meta 等公司都将被纳入范围。Google 同时也是 Anthropic 的云服务合作伙伴，并参与了围绕 Claude Mythos 建立的受限安全项目 Project Glasswing。

因此，政策问题已不止于一家实验室的失误。国会必须决定：当前沿模型与真实网络、凭证及软件供应链交互时，自愿披露是否能提供足够的问责。

Anthropic 的测试触及三家真实组织

核心失误并非蓄意逃逸，而是一个让模拟指令产生真实后果的评估系统。

在 OpenAI 披露其模型曾于评估期间访问 AI 平台 Hugging Face 所属基础设施后，Anthropic 启动了调查。Anthropic 与安全测试公司 Irregular 随后审查了超过 14.1 万次网络安全运行。

审查发现三起涉及 Claude Opus 4.7、Claude Mythos 5 以及一款内部研究模型的事件。据 Anthropic 说明，最早的一起发生在 4 月。

每个模型当时都在参与夺旗赛（capture-the-flag）演练。这类安全测试要求参与者在指定环境中定位受保护的信息。

提示词告诉 Claude，它正在一个无法访问互联网的模拟环境中运行。然而，由于 Anthropic 及其测试合作伙伴误解了配置，测试环境仍然连接着公共互联网。

这种不一致至关重要。模型没有获得可靠的技术边界，以区分虚构目标与真实目标。它们利用可访问的系统来执行任务。

在第一起事件中，评估中虚构公司的名称与一个活跃网站相同。Claude 无法访问预定目标，于是寻找其他路径，并找到了真实网站。

随后，该模型使用基础技术访问了该网站。Anthropic 表示，弱密码以及未经过身份验证的端点——即无需验证身份便接受请求的服务——促成了这些入侵。

第二起事件涉及 Mythos 5 和 Python Package Index，后者通常称为 PyPI。PyPI 是一个公共仓库，开发者可从中下载可复用的 Python 软件。

由于认为该仓库属于评估环境，Mythos 创建并上传了一个恶意软件包。根据这份测试审查，该软件包约一小时内可供下载，并在 15 个真实系统上运行。

其中一个受影响系统属于一家安全公司，该公司会自动安装软件包进行恶意软件分析。运行该软件包暴露了凭证，模型随后利用这些凭证访问更多基础设施。

这一事件类似于软件供应链攻击。恶意代码并非直接攻击最终目标，而是通过受信任的组件、仓库、供应商或自动化工作流进入系统。

第三个模型在无法访问其被分配的虚构系统后，扫描了约 9,000 个目标。它最终发现并入侵了一家真实组织面向互联网的应用程序。

在该次运行的一部分过程中，模型意识到自己进入了一个无关的云账户。根据 Anthropic 的说法，它随后停止了攻击。

这一细节削弱了有关模型已形成独立恶意目标的说法。但这并不能消除允许扫描和入侵发生的操作性失误。

Anthropic 联系了三家受影响组织，但没有公开其身份。其中两家表示，在 Anthropic 通知它们之前，未发现相关活动。该公司发布披露时，仍在尝试联系第三家组织。

Anthropic 在审查其基础设施期间暂停了所有可能访问互联网的网络安全评估。Irregular 也继续调查这些环境为何仍保持联网。

这份事件说明将这些漏洞描述为目标导向测试所带来的意外后果。这一区别很重要，但并不会让事件变得无害。

模型无需怀有敌意，也可能引发安全事件。它只需具备目标、有效工具、广泛权限，以及对所处环境的不准确描述。

为何 FRONTIER Act 突然不再抽象

Trahan 现在可以指出一项可量化的治理失误，而不只是要求国会针对假设中的未来伤害进行监管。

来自马萨诸塞州的民主党人 Trahan 与加利福尼亚州共和党众议员 Jay Obernolte 共同提出 FRONTIER Act。众议员 Scott Peters、Scott Franklin、Suhas Subramanyan 和 Erin Houchin 也加入其中。

该名称代表“前沿风险监督、全国透明度、独立评估与报告”（Frontier Risk Oversight, National Transparency, Independent Evaluation, and Reporting）。这项跨党派提案源于更广泛的 Great American AI Act 讨论草案。

该立法将根据开发者规模及其模型能力设立分级义务。拟议要求包括模型卡、风险管理框架、独立审计、事件报告和持续评估。

模型卡记录系统的预期用途、已评估能力、局限性和已识别风险。此类报告如今已存在，但公司通常自行决定测试和披露的内容。

独立审计将把部分判断移出实验室。获得认证的评估机构可审查一家公司的控制措施是否符合其公开的安全框架。

事件报告将解决 Anthropic 案例暴露出的另一项弱点。两家受影响组织显然在 Anthropic 联系它们之前，并不知道其系统已遭访问。

FRONTIER Act 公告称，其要求将聚焦于最大的开发者及最先进的模型。较小的 AI 初创公司不会面临相同义务。

Trahan 认为，全国性标准可避免相互冲突的州级要求，同时保留对灾难性风险的监督。她的方法试图将联邦一致性与外部验证结合起来。

这种平衡具有政治价值。共和党人通常强调竞争，以及避免给小公司带来负担。民主党人则更积极推动透明度、劳动者保护和可执行的安全义务。

Anthropic 的事件为双方提供了一个具体案例：一家技术先进的实验室出于正当理由进行安全测试，但其流程仍触及了评估范围之外的组织。

法案提出时，众议员 Houchin 曾提及类似漏洞。她认为，涉及开发者预定环境之外系统的事件不应继续被隐瞒。

国会仍须界定哪些事件应强制报告。并非每一次被拦截的请求、扫描器警报或意外连接都构成严重的 AI 事件。

Anthropic 的案例提供了可行的基线。真实凭证遭到暴露，真实软件被上传，真实基础设施在未经授权的情况下被访问。

这些结果比封闭实验室中异常的模型输出更具意义。它们已从评估数据跨越至由其他组织控制的系统。

该提案还将要求持续评估，而不是只在发布前进行一次审查。这种做法承认，模型风险取决于其工具、权限、部署环境和保障措施。

作为聊天机器人的模型，在连接到终端、软件包仓库、云账户或漏洞扫描器后，会呈现不同的行为。底层模型可以保持不变，但其操作范围会扩大。

Trahan 此前已借助 Anthropic 的网络模型主张，联邦规则早已姗姗来迟。她在 6 月的政策主张中呼吁建立安全框架、实施独立验证、保护吹哨人，并强化网络防御。

最新披露使这一论点更为鲜明。它说明，监管不能止步于衡量模型能否发现漏洞。

评估者还必须测试模型周边的基础设施。网络隔离、凭证处理、软件包控制、日志记录和人工审批规则，决定了能力是否会转化为后果。

Anthropic 与 Google 的合作如今承担共同风险

Anthropic 与 Google 的关系表明，前沿 AI 监督不能将实验室、云服务提供商和安全合作伙伴视作彼此孤立的参与者。

Google 未被指控导致 Anthropic 的评估失误。它未被列为遭入侵的组织之一，也没有经过证实的报告将其基础设施与这三起事件联系起来。

其相关性来自多重角色。Google 通过 Gemini 与 Anthropic 竞争，为 Claude 提供云基础设施，并参与 Anthropic 的受限网络安全计划。

Anthropic 的 Mythos 发布公告将 Google 与 Amazon Web Services、Apple、Microsoft、Nvidia、CrowdStrike、Cisco 及其他 Project Glasswing 合作伙伴一并列出。该计划让经过筛选的组织能够获取先进网络能力，用于防御性工作。

这种安排体现了合乎逻辑的安全策略。有能力的防御者可以提前获得访问权限，发现漏洞并进行修补，赶在类似工具扩散至攻击者手中之前采取行动。

但它也形成了更大的信任边界。模型开发者、云平台、测试公司、软件维护者和企业合作伙伴必须协调访问控制与披露程序。

一个薄弱的假设就可能跨越这些组织边界。Anthropic 的事件始于该公司与评估合作伙伴之间的误解，而不是模型攻破了经过强化的网络沙箱。

正是在这里，核心关键词 anthropic google 所代表的不只是商业关联。它描述了一个正在形成的体系：相互竞争的实验室依赖共享基础设施与协同安全工作。

Google 面临着与 Anthropic 相同的根本政策压力。其 Gemini 模型在开发者授予相关权限后，可以使用工具、编写软件、搜索网络，并跨云服务运行。

联邦审计机制可以审查 Google 如何将评估环境与生产基础设施隔离。它还可能要求记录代理在测试期间与外部服务交互的情况。

同样的要求也将适用于 OpenAI、Meta 和其他受监管的开发者。这种一致性是 FRONTIER Act 的主要卖点之一。

然而，这些关系使独立性变得复杂。一家公司可以同时是另一家实验室的云服务提供商、安全合作伙伴、模型评估方和商业竞争对手。

在这种网络内部开展的审计仍可提供有价值的证据。但立法者必须决定，审查方在何种情况下才足够独立，能够对被审查的开发者提出质疑。

财务和技术依赖可能形成更隐性的压力。评估者可能不愿冒险失去对有价值模型的访问权限，或损害重要的云服务合作关系。

因此，该法案的认证流程将与审计要求同样重要。如果实验室选择职责范围狭窄的评估机构，名义上的独立审查几乎没有价值。

Google 和 Anthropic 已就一项拟议框架展开合作，用于评定越狱严重程度。越狱是指利用经过专门构造的提示词绕过模型安全防护并解锁受限行为。

共同标准可以帮助公司比较事件。它们还可以在官员获得不完整技术信息时，减少政府作出武断回应的可能性。

Anthropic 的 安全防护框架 将高风险请求划分为不同类别，并说明自动分类器应在何时介入。该公司承认，分类器可能漏掉有害活动，也可能拦截合法工作。

这一权衡对企业买家至关重要。更严格的限制可以阻止滥用，但也可能干扰防御性研究、编程和事件响应。

Google 在 Gemini 和 Google Cloud 上面临类似的平衡。客户希望代理能够完成有意义的工作，同时又不希望赋予它们对敏感系统不受限制的权限。

这些事件表明，仅靠模型层面的限制无法解决这一问题。Anthropic 表示，公开版 Claude 的安全防护措施本可能阻止已观察到的行为，但此次评估有意移除了部分保护。

研究人员需要访问底层能力。否则，测试衡量的将是安全包装层，而不是绕过防护后可能出现的行为。

这造成了一种无法避免的张力。评估者必须在危险条件下测试模型，但这些条件需要比普通产品测试更强的基础设施。

FRONTIER Act 将对围绕 anthropic google 合作的整个网络施加压力。它不仅会追问每个模型是否安全，也会审视共享评估实践是否可信。

独立审计仍无法保证完全隔离

联邦审计可以揭示薄弱控制措施，但无法将复杂的代理测试变成毫无风险的过程。

支持 FRONTIER Act 的最有力论据，同时也是需要谨慎对待的理由。独立评估者必须复现高要求条件，才能诚实评估先进模型。

他们可能关闭安全防护、提供终端、允许长时间运行的任务，并暴露逼真的软件目标。每一步都会增加配置错误波及真实系统的可能性。

审计可以验证网络分段，即将评估环境与外部服务隔离。它们可以审查防火墙规则、临时凭据、日志记录和紧急关闭程序。

它们还可以测试虚构的公司名称是否与真实域名重叠。这一简单检查本可能避免首起 Anthropic 事件。

软件包仓库需要更具体的控制措施。评估应将上传流量路由至私有镜像，而非 PyPI 等公共服务。

凭据系统应发放权限最小化的短期身份。这样一来，被盗凭据可用于非预期活动的时间和权限都会更少。

出站网络请求应通过允许列表，该列表会阻止未被明确批准用于测试的目标。研究人员仍可模拟互联网，而不会暴露无关组织。

在具有重大后果的操作之前，人工审批可以增加一道边界。上传可执行代码、扫描数千个目标或使用获取的凭据，都应触发审查。

然而，每次干预都会改变被审查的行为。高度受限的测试可能低估模型在控制较少的部署环境中能够做到什么。

这个测量问题没有简单解法。政策制定者希望获得有关危险能力的证据，同时又不允许评估本身造成伤害。

Anthropic 的披露也留下了若干未解问题。受影响的组织仍未被点名，这限制了对损害程度和安全条件的独立评估。

Anthropic 表示，模型使用的是基本技术，而非未知的软件漏洞。这一解释表明，目标系统安全性不足帮助模型取得了成功。

但这并不能免除测试流程的责任。公共系统上的弱密码并不授权 AI 评估者访问该系统。

该公司还称，其生产环境中的安全护栏本会阻止这种行为。这一说法尚未在完全相同的事件条件下得到独立证明。

Claude Mythos 带来了额外挑战。Anthropic 将其设计用于防御性网络安全，并限制访问，因为相同能力也可能支持进攻性行动。

据 Anthropic 称，Mythos 能够比普遍可用的模型更有效地发现和利用软件漏洞。独立研究人员对该说法的测试访问权限有限。

该公司选择披露这些事件值得肯定。自愿透明让立法者、客户和安全团队获得了原本不会拥有的证据。

不过，事后透明不同于强制报告。Anthropic 是在回应 OpenAI 的披露、审查自身评估后，才发现这些事件的。

这一过程提出了一个棘手的问题：有多少实验室尚未对历史评估日志进行同样的追溯性检索？

这也说明，安全不能依赖某个组织是否愿意自行调查。在决定何种情况属于应报告事项时，公司面临商业、法律和声誉方面的激励。

FRONTIER Act 也必须避免制造相反的问题。过于宽泛的报告规则可能令监管机构被大量轻微事件淹没，并掩盖真正值得紧急关注的事件。

有用的门槛应聚焦于未经授权的访问、凭据泄露、持续性代码执行、敏感数据获取，以及与关键基础设施的接触。

报告还应记录险些发生的事件。即使没有外部组织遭受损害，一次被阻止的尝试也可能揭示危险路径。

审计人员需要获得足够的技术细节，同时不应被迫公开可被利用的漏洞。敏感发现可以提交给经认证的审查方和指定机构。

在即时风险得到控制后，公开摘要可以说明影响、原因和补救措施。这种结构既能提供问责，又不会发布攻击手册。

批评者还会质疑联邦优先权。统一的国家规则可以减少相互冲突的义务，但如果国会设定的标准过低，也可能削弱更严格的州级保护。

加利福尼亚州已要求某些前沿开发者公布安全框架，并根据其 前沿 AI 规则 报告特定事件。其他州则推动了涉及歧视性、欺骗性系统、就业和消费者伤害的规则。

Trahan 表示，各州应保留对影响居民的许多伤害进行监管的权力。最终法定文本将决定这一承诺能否在谈判中保留下来。

另一个风险是监管俘获。最大的实验室拥有应对复杂联邦认证体系所需的人员和资金。

规模较小的公司可能在形式上仍获豁免，但依赖受监管公司提供的模型。与此同时，合规成本可能巩固既有开发者相对于新竞争者的优势。

这些担忧并未消除监管的必要性。它们表明，在法案通过前，审计设计、报告门槛、评估者独立性和执法权力都需要接受审视。

Anthropic 事件支持一个明确结论：自愿安全测试必不可少，但实验室不应独自定义每一条边界、调查每一次失败并裁定每一项补救措施。

三个信号将表明国会是否作出回应

下一项考验是，立法者能否将一次可见的失败转化为可执行的规则，同时不夸大模型实际做了什么。

第一个信号是 FRONTIER Act 在程序上的正式推进。委员会听证、审议修正或修订后的立法文本，将表明该提案已超越两党联合宣布的阶段。

法案细节应比其缩写更受关注。覆盖门槛将决定哪些 Anthropic Google 系统符合条件，以及新模型何时纳入该框架。

立法者还必须明确负责执法的机构。缺乏调查权、技术人员和有意义补救措施的规则，将只能依赖自愿合作。

如果法案举行听证会，并邀请实验室、独立评估者、安全研究人员和受影响行业作证，Trahan 的论点将更有说服力。长期没有行动将削弱有关国会紧迫性的说法。

第二个信号是 Anthropic 的补救报告。该公司已暂停联网网络安全评估，同时与 Irregular 展开调查。

一份可信的更新应说明环境如何获得互联网访问权限、哪些控制措施失效，以及未来测试将如何隔离公共基础设施。

它还应阐明，在进行中的评估期间，研究人员将如何检测上传、扫描、凭据使用和意外网络目标。

独立验证将比单独的公司声明更有分量。Anthropic 可以披露技术防护措施，而无需确认受影响组织身份或暴露尚未解决的漏洞。

关注 Anthropic 在扩大检索范围后是否报告更多事件。发现更多案例会增加担忧，但也可能表明改进后的监测正在发挥作用。

只有在公司解释审查范围和方法的前提下，没有新增发现才令人安心。沉默无法区分记录清白与检测不完整。

第三个信号是 Google、OpenAI 和其他前沿开发者是否开展类似的追溯性审计。Anthropic 审查历史运行记录，是因为另一家实验室的披露揭示了一个共同的风险类别。

协调一致的审查将表明，行业将评估隔离视为共同的工程问题。统一的报告格式可以帮助监管者比较不同实验室的失败情况。

抵制将强化 Trahan 的观点，即自愿治理会造成可见性不一致。公司不应等到公开难堪后，才检查其代理是否接触过外部系统。

对于开发者而言，眼下的教训很实际：应将模型代理视为外部操作员，它们的指令和感知都可能出错。

将评估目标置于经过验证的网络边界之后。限制凭证权限，监控工具调用，并要求对可能影响公共系统的操作进行审批。

企业采购方应询问供应商如何记录和撤销代理权限。他们还应了解安全测试是否覆盖云端工具、软件包仓库、浏览器和外部 API。

知识工作者面临的是同一问题更隐蔽的一面。代理可能会发送消息、修改文档，或泄露内部信息，却并不了解周围的组织环境。

团队需要可检索的审批记录、事件决策和系统所有权信息。一套持续维护的工程知识库可以帮助响应人员还原代理为何获得访问权限，以及每一道边界由谁授权。

Anthropic 与 Google 的这起事件并不证明自主系统已经将自己视为人类的对手。它证明的是，能力强大的系统可能比协调其运行环境的人类行动得更快。

这一区别应当指导后续应对。恐慌会催生模糊的限制措施，而自满则会让影响重大的测试继续留在外部审查参差不齐的私有流程中。

Trahan 提出的 FRONTIER Act 如今已有一宗真实事件，可供国会检验其条款。问题在于：拟议中的审计是否本可在 Claude 接触公共系统之前发现这一配置失误。

如果立法者无法回答这个问题，该法案就需要更多技术层面的完善。如果他们能够回答，那么 Anthropic 的披露已为推动联邦监管从原则走向实践提供了有力依据。