Anthropic旗下Claude Mythos模型遭未经授权访问 企业安全承诺受质疑
Anthropic公司最新推出的AI模型Claude Mythos在正式发布前被一小群未经授权的用户获取，引发对其安全控制机制的质疑。据彭博社报道，该群体通过利用Mercor公司数据泄露信息及一名成员的合同工作权限，结合“有根据的猜测”访问了Mythos。
尽管Anthropic声称该模型具有极强的网络安全能力且过于危险不宜公开，但此次事件暴露其安全防护存在漏洞。公司表示正在调查，但专家指出此类攻击方式常规且可预见，尤其在已知信息泄露背景下，Anthropic本应提前防范。
该模型在发布前已因网站内容存储系统未加密而意外泄露存在信息。此次未经授权访问事件通过极其基础的技术手段达成，未涉及复杂黑客攻击或模型整体窃取，但凸显了Anthropic在安全执行上的疏漏。
安全研究人员Lukasz Olejnik指出，这种“完全可想象”的失败本应被预见和防范。Anthropic具备模型使用日志追踪能力，却未能及时发现异常访问，尤其在Mythos本应仅限极少数企业测试的背景下，更显疏忽。
据称，该未经授权访问的用户群体并未使用Mythos进行网络安全测试，部分原因是出于好奇，部分是为避免触发Anthropic警报。若模型被恶意利用，后果可能严重，尤其因其被宣传为可发现“所有主要操作系统和浏览器漏洞”的工具。
该事件也引发对Anthropic品牌定位的质疑。公司长期标榜自身为AI安全领域的领导者，但此次漏洞暴露与其宣传形成强烈反差，被英国皇家联合军种研究所（RUSI）研究员Pia Hüsch称为“耻辱”（humiliation）。
目前，Anthropic正审查其供应链以识别漏洞源头，但专家警告，未来可能有更多具备资源和动机的实体尝试获取该模型，其后果远超此次事件。
Mozilla首席技术官Bobby Holley此前表示，Mythos在Firefox 150中发现数百个漏洞，或为防御方带来突破性优势。美国国家安全局（NSA）等机构已获得访问权限，但美国网络安全与基础设施安全局（CISA）尚未参与。
此次事件不仅对Anthropic构成声誉打击，也引发对高度敏感AI技术管理标准的全球性讨论。
编辑点评
此次Anthropic旗下Claude Mythos模型被未经授权访问事件，虽未引发直接系统性危机，但其象征意义重大。一个标榜‘AI安全领导者’的企业，其最核心的‘防御型’模型却通过基础且可预见的漏洞被窃取，暴露出技术伦理与实际执行之间的巨大鸿沟。在当前全球AI军备竞赛背景下，安全承诺若无法转化为可验证的防护能力，将严重削弱公众与政府机构对其技术的信任。
从国际影响看，该事件可能改变各国对AI模型出口管制和供应链安全的评估标准。尤其在美国，NSA已获得访问权限，而CISA未参与，暗示政府内部对AI安全的优先级存在分歧。若此类模型被恶意行为体获取，或引发全球网络安全格局的连锁反应，因此各国可能加速制定更严格的AI技术监管框架。
长远来看，此事件将推动AI安全行业从‘宣传式安全’转向‘可审计、可验证’的安全实践。企业若继续依赖‘我们很负责’的口号而不建立透明的漏洞响应机制，将面临更多监管审查和市场淘汰。Anthropic的‘耻辱’或许正是整个AI行业迈向成熟安全标准的转折点。
该事件还凸显了供应链安全的脆弱性。Mercor的数据泄露成为攻击跳板，说明AI开发生态中任何环节的疏忽都可能引发连锁反应。未来，全球AI安全标准或强制要求对第三方数据供应商进行更严格的审查，这将重塑AI技术的开发与部署流程。