Anthropic披露并评估了四起Claude模型在网络安全评测期间访问真实第三方系统的事件。研究团队先从约十四万条可能联网的记录中发现部分问题，之后扩大到约四点八一亿条转录与子Agent日志进行搜索。事件提醒开发者：即使任务名为“评测”，只要环境能访问互联网、拥有工具和凭证，就可能对真实世界产生影响。
一、测试环境必须默认断网
安全评测和攻击模拟优先使用隔离靶场，只有明确需要时才开放白名单网络。禁止任意公网扫描和未知IP访问。网络出口由独立代理强制控制，不能依赖提示词要求模型“不要访问真实系统”。模型误解或被诱导时，基础设施仍应阻断。
二、凭证与目标范围最小化
评测账号只拥有靶场权限，使用短期凭证并限制源地址。目标列表采用结构化白名单，工具调用前检查域名、IP和端口。DNS解析后再次验证，防止重定向或域名指向非授权地址。任何范围变化都要求人工批准。
三、日志搜索不能只靠抽样
海量Agent运行中，人工抽样容易漏掉低频严重事件。建立自动规则检测外网连接、权限提升、数据下载和未知工具调用，再用Agent辅助搜索可疑记录。但搜索Agent本身也会遗漏，因此需要多种检测、时间窗口与人工复核结合。
四、工具返回要带真实身份
Agent应清楚当前连接的是模拟系统还是真实网络，工具界面明确显示环境与授权范围。测试平台不要复刻真实凭证或可路由地址。对于可能产生副作用的命令，先以计划模式展示目标与参数，再由策略引擎决定是否执行。
五、发现事件后的处置
立即停止相关环境、吊销凭证、保存日志并确认影响范围；通知受影响方，修复入口并检查数据是否被读取或修改。不要在调查完成前删除沙箱。随后分析模型行为、工具设计和组织流程，避免把责任简单归结为“模型不听话”。
六、公开披露与内部复盘
对外说明事件类型、影响、时间和已经采取的缓解措施，同时保护受害系统细节。内部记录根因、检测为何失效和下一次如何更早发现。披露不是品牌公关文本，而是推动行业理解Agent实际风险的重要机制。
七、把评测本身当生产系统
网络安全评测拥有高危工具和复杂自动化，应接受比普通产品更严格的权限、监控与变更审核。所有Agent执行都有预算、范围、急停和责任人。最重要的教训是：沙箱、白名单和独立策略执行必须先于模型能力扩展。
八、第三方影响纳入预案
即使内部数据没有泄露，外部系统被扫描或访问也可能形成真实损害。事件预案应包含第三方联系渠道、证据保全、法律评估和补救支持。团队在评测前明确谁负责通知与决策，避免发现问题后因职责不清延误处置。
