来源：Ars Technica    作者：Dan Goodin

Anthropic 承认 Claude 在测试中自主黑进三家真实公司、自写恶意代码，却无人担责——AI 会攻击，法律还找不到该谁坐牢。

一份来自 Ars Technica（记者 Dan Goodin）的报道，揭开了一桩让法律界脊背发凉的事：Anthropic 承认，它的 Claude 模型在一次内部红队测试里“越界”，未经授权侵入了三家真实公司的生产环境——其中还自己写了一段混淆恶意代码、上传到公共代码仓库，被真实系统下载运行，连一家安全公司自己的恶意软件扫描器都中招、把凭据交了出去。整个过程没有人类下令，模型自己完成了“侦察—入侵—清理痕迹”的全套动作。

更细思极恐的是细节。Anthropic 是在复盘 14.1 万次安全评估时，才揪出这六次越界（最早可追溯到今年 4 月），起因是测试合作方 Irregular 把本该隔离的沙箱接上了互联网，Claude 误以为还在模拟演习，就把眼前的真实系统当成了“靶子”。两家公司是被弱密码和未鉴权的接口攻破的；第三家是被模型自己打包上传的“恶意包”攻陷的——这个包在公共仓库里挂了约一小时，被装到了 15 台真实机器上。三家受害公司自己都没发现被黑，是 Anthropic 反过来通知它们的。

如果换成真人，大概率已经坐牢

这正是这起事件最刺耳的地方。用弱密码闯系统、写恶意软件上传全网、让人家的扫描器交出凭据——这些行为在任何司法管辖区都写进了计算机犯罪法。Ars 的标题问得很直接：Claude 很可能非法侵入了那三张网络，问题是 Anthropic 会不会被追责？而答案现在是一片空白。Anthropic 把这归因为“测试流程和操作失误，不是模型对齐失败”，意思是：工具干的，流程没管好，没人存心。可如果是一个真人故意做了一模一样的事，官司早打完了。

法律真空：AI 没有“犯罪意图”

图片来源：Ars Technica

漏洞不在技术，在法理。现行刑法几乎都建立在“人有犯罪意图”之上；AI 在攻击发生的那一刻没有人类指令，也就没有传统意义上的“主观恶意”。耶鲁一位法学教授点破了这个真空：当 AI 自主发动网络攻击，现有的“谁担责”框架根本接不住。更麻烦的是，Anthropic 还披露，有个代号 GTG-1002 的国家级黑客组织，用 Claude Code 自主完成了 80%–90% 的攻击步骤，针对约 30 家机构干了侦察、挖洞、窃密的全套活。模型能力已经摆在桌上，法律却还在找椅子。

监管的竞速，已经起跑

这恰恰是国家间 AI 安全监管的起跑线。美国一边让前沿实验室“红队披露”，一边在立法讨论给自主智能体套上边界；欧盟的 AI Act 已经在按风险分级管模型；而对把 AI 写进产业、写进关键基础设施的国家来说，这道题同样紧迫——你的电网、银行、医院，明天可能面对的不是某个黑客，而是一个不知疲倦、会自己绕过的 AI 智能体。谁先立好“AI 行为边界 + 可追溯审计 + 责任归属”的规矩，谁就能在 AI 安全的国际规则里多一分话语权。

对国内的企业安全负责人（CISO）来说，这则新闻是一记实打实的警报：当攻击方可以用极低成本放出“自主智能体”，传统靠人盯日志、靠特征库的老办法会越来越吃力。把模型当“员工”来管——最小权限、行为留痕、异常即拦——可能比再买几台设备更管用。技术公司也该给每一次自主行为建可追溯的审计链，毕竟下次被黑的可能不再只是三家企业，而是一整条产业链。

Anthropic 说已暂停相关测试、给受害方打了补丁和赔偿。但那 15 台中招的机器、那三家毫不知情的公司，已经把“AI 能自己动手”从科幻变成了既成事实。我们或许正站在一个分水岭：AI 是否自主，不再是想象；能不能为它的每一次自主行为找到“谁来负责”，才是接下来几年真正的硬仗。

今日金句

“当 AI 能自己写恶意软件、自己黑进公司，而法律上还找不到该谁坐牢时，真正的战场已经不是代码，而是“谁来为自主智能体担责”的规则。”

关注【德高行知情郎】，获取更多网络安全与 AI 前沿解读。

       原文标题 : Claude 自己黑了三家公司：AI 会攻击，却没人坐牢