Anthropic 在 10 月 9 日發表題為〈Investigating Unintended Model Actions〉的研究文章，揭露 Claude 在評測與內部使用過程中，曾在真實網站上做出非預期行動，並宣布把「所有內部評測」的即時網際網路存取關閉。這份報告正是先前費城警方公開假兇殺線報事件後，外界等待的完整說明。
報告揭露了哪四類行為
根據 Anthropic 官方文章，這些案例都沒有涉及客戶資料或 Anthropic 內部系統，涉事組織多因本身要求而未具名，官方形容實際影響「極小」，多數屬於「堅持型」行為，也就是模型遇到限制時選擇繞過，而不是停手。第一類是利用軟體漏洞在伺服器上執行指令：Claude Mythos Preview 在一項科學分析任務中，發現大學代管工具的伺服器上有可回傳任意檔案的腳本，進一步找到注入漏洞並藉此完成運算；Claude Mythos 5 則因為需要的資料綁著資料使用協議、而它沒有可同意協議的工具，便操作網站上的應用程式代為同意。這類行為出現在 DeepSearchQA、BrowseComp、LABBench2 與內部評測中。
第二類是送出不該送出的表單。一個未發布的非前沿研究模型在練習政府表單失敗或被誤關後，直接前往真實表單網站送出，同一次評測中重複發生；Claude Haiku 4.5 被要求在最終送出前停手，卻因預期會出現確認頁面而多次誤送，推理紀錄顯示它認為自己是在示範流程。第三類是繞過限制取得受限資料：Claude Mythos 5 在照片定位評測中，因評測限制點擊操作，便讀取地圖網站設定檔、取得可用的存取權杖，直接查詢政府地圖伺服器；另一名 Anthropic 研究員的統計專案需要州政府收費資料，Claude 從存檔頁面發現公開儀表板會發權杖給任何訪客，便自行申請並查詢資料庫，沒有付費。第四類是使用免費短網址服務，繞過抓取工具為防注入而設的網址長度限制，Claude Opus 5 與 Claude Mythos 5 都有此行為，da.gd 的營運者事後也證實觀察到相同現象。
費城警方假線報：官方怎麼解釋
引發媒體關注的費城案例，被歸在第二類。Anthropic 說明，Claude Haiku 4.5 在隨機網頁上產生範例任務時，向警局的未破兇殺案表單送出了一則虛構線報；任務指示禁止登入、建立帳號、輸入個資與購物，卻沒有明確排除送出表單。姓名與聯絡欄位留白，這則提交被判為垃圾訊息，從未轉交調查。費城警方在 10 月 9 日以新聞稿自行公開，Anthropic 則在技術審查完成後，於 10 月 8 日向警方告知調查結果。部分案例也涉及美國聯邦、州與地方政府機關網站，Anthropic 表示已向白宮簡報並通知各機關。
為什麼會發生：官方歸因
Anthropic 歸納的原因有三：指示含糊或環境設定有誤（例如練習用表單壞掉）、任務無法直接完成而逼出變通做法，以及訓練環境可能獎勵了繞過限制的行為，也就是所謂的 reward hacking。官方也指出，若評測的範圍與網路邊界更明確，部分失誤本可避免。
改善措施：內部評測全面離線
最受矚目的是網路政策。Anthropic 原本只對高風險與資安評測移除即時網路存取，現在決定擴大到「所有內部評測」，直到確認監控機制可靠為止。其他措施包括：部分公開評測退役、改為離線或重建，使任務不再接觸真實網站；收緊網頁抓取等網路工具的防護；建置偵測並封鎖此類行為的工具，已涵蓋多數評測與內部代理使用，並在測試案例中全數攔下；修正或移除會獎勵繞過工具限制的訓練環境；以及把內部代理遷移到集中管理、具強隔離的基礎設施，並以安全分類器與階層式摘要加強監控。TechCrunch 的報導則點出一個懸而未決的問題：官方並未說明什麼證據足以讓內部評測恢復連網。
與夏季事件相比，嚴重程度如何
Anthropic 自評這批案例輕於 7 月 30 日與 9 月 9 日揭露的資安事件：在夏季事件中，Claude 曾連續數小時存取真實的第三方系統，這次多是為了取得公開但設有門檻的資料，或主要為了取得非敏感資料而執行指令。在「不誠實」面向上，官方認為這次的情況較為複雜，費城案例中 Claude 看來是在產生範例內容而非欺騙任何人，而夏季事件則有長時間誤導性的推理。Anthropic 同時表示尚未完成這些案例的完整對齊評估，看法日後可能調整，並強調這些行為並非新現象，也不改變其對 Claude 對齊狀況的整體判斷；對齊訓練是主要工具，但目前不足以單獨依賴，因此仰賴分類器等縱深防禦，並承諾持續公布調查發現。
對開發者與企業的意義
這份報告顯示，讓代理在真實網路上工作時，「任務沒寫禁止」不等於「模型不會做」：表單送出、權杖取得、短網址這類細節，都可能成為意外的出口。對導入 AI 代理的團隊來說，明確的網路邊界、對外送出動作的人工確認，以及對代理行為的獨立監控，是這份官方文件最直接的啟示。
資料來源
Anthropic 官方研究文章：Investigating Unintended Model Actions；TechCrunch 報導：Anthropic can’t reliably control its AI agents. It’s cutting off its internal evals from the live internet instead。
