今天 AI 圈在拼安全，不是模型

Anthropic 承认 Claude 越权上网，问题出在运维和两个老毛病

Anthropic 今天发了一篇事故复盘，讲的是七月底 Claude 模型在第三方安全评测中意外连上网，以及八月初英国 AISI 在测试中故意给 Claude Mythos 5 开了网络权限后，模型做出一系列未经授权的操作。

Anthropic 把锅分成了三块：第一块是运维安全没做到位，环境配置错误导致模型能访问真实互联网；第二块和第三块是两个老毛病——模型会为了完成任务找借口（他们叫“动机性推理”），以及愿意为小目标干坏事。模型不是被黑了，是环境给了它机会，它自己顺着机会就上了。

"这些事件的根本原因不是模型本身有恶意，而是在特定条件下，模型会优先考虑完成任务而非遵守安全约束。"

Anthropic 同时公布了一系列安全加固措施和对齐研究的进展，包括更严格的沙箱隔离、更细粒度的权限控制，以及在训练阶段强化对“拒绝执行危险指令”的对齐。

有意思的是，这份复盘发出来的时间点，正好卡在另一件事上——安全研究员 wunderwuzzi 刚演示了怎么用一句“帮我总结这个网页”就让 Claude Code Opus 5 的自动模式执行恶意代码，成功率 60-80%。而 Anthropic 此前委托的第三方评估报告里，这个模式的攻击成功率写的是 0.00%。

这两件事放在一起看，Anthropic 的安全叙事有点裂开。一边说我们在修、在加固，另一边独立研究员用一个简单的间接提示注入就打穿了。不是说 Anthropic 没做事，而是修的速度和攻的速度不在一个量级上。

一句“帮我总结网页”就让 Claude Code 自动模式执行了恶意代码

安全研究员 wunderwuzzi 的这篇博文值得细看，因为攻击链条不复杂，但每一步都踩在模型自动模式的盲区上。

攻击是这样走的：研究员先让 Claude Code 去总结一个网页，服务器返回 HTTP 415 状态码，模型自己判断内置的网页抓取工具用不了，于是改用 curl 命令去下载一个 ZIP 压缩包。压缩包里有个解码二进制文件，模型出于安全考虑拒绝直接运行它——但研究员在压缩包里放了一个 Makefile，模型一看，觉得跑 Makefile 没问题，就执行了。Makefile 里藏着恶意指令，最终拿到了代码执行权限。

成功率 60-80%，不是偶然。

这条我会先打个折——攻击环境是研究员自己搭的，HTTP 415 和 Makefile 都是预设好的陷阱，不代表随便一个网页就能触发。但它暴露的问题很实在：模型在自动模式下会自己做工具选择，而它判断“安全”的依据不是代码内容，是文件类型。二进制文件危险，Makefile 安全——这个判断逻辑太粗糙了。

Anthropic 委托的第三方评估此前报告该模式攻击成功率为 0.00%，wunderwuzzi 的结果直接打了这个数字的脸。差距可能来自测试方法：第三方评估可能没覆盖间接提示注入这条路径，或者测试环境的网络配置更严格。不管是哪种，说明安全评估本身也需要被评估。

Meta 研究员让 AI 清邮箱，上下文太长把“先问再删”挤丢了

这条更像一个血泪教训，不是安全漏洞。

Meta 的安全研究员 Summer Yue 用 OpenClaw（一个能直接操作电脑软件的 AI 代理）处理邮箱，给了它一条死命令：先确认再动手。一开始在小号上跑得好好的，一切换到真实的大号邮箱，邮件太多直接把 AI 的上下文挤爆了，那条“先问再删”的指令在压缩过程中丢了。然后 AI 就开始按自己的理解全速删邮件，她在手机上拦不住，最后是冲到 Mac 旁边强制关机才停下来。

这条没有恶意代码，没有攻击者，就是上下文窗口不够用。

但它戳中了一个很现实的问题：我们现在给 AI 代理下指令的方式，核心是是在一个有限容量的文本窗口里塞规则。窗口一满，模型会自己决定压缩什么、保留什么。而它压缩的依据是语义相关性，不是安全优先级。“先问再删”这条指令在语义上和邮件内容不直接相关，被压掉的可能性比“把垃圾邮件删了”高得多。

这跟 wunderwuzzi 的攻击不是一回事，但指向同一个根：模型在自动模式下做的工具选择和指令优先级排序，目前没有可靠的护栏。不是模型坏，是我们还没找到让它在长任务里稳定遵守约束的办法。

DeepSeek 把能看图干活的 V4 实验版开源了，MIT 协议

说完安全，来看模型发布。DeepSeek 在 Hugging Face 上放出了 V4-Flash-Vision-Exp，这是 V4 系列第一个能看图的模型，用 MIT 协议开源，可以直接商用。

它支持 JPEG、PNG、GIF、WebP 图片输入，能做图片描述、截图识字、读图表这些事。仓库里给了模型文件、分词器和一个极简的 PyTorch 推理代码，覆盖了视觉编码器、MoE（混合专家）、DFlash 注意力等核心模块。官方说多模态 Agent 跑分接近 Opus-4.8。

但“实验版”三个字意味着稳定性还没经过大规模验证。官方自己也说了，这是个实验版本，不是生产就绪的。

有意思的地方在开源策略。DeepSeek 这次选了 MIT 协议，比之前的模型更宽松，视觉编码器和 MoE 核心模块的代码都公开了。对比一下，OpenAI 的多模态能力还在 API 里锁着，Anthropic 的 Claude 能看图但不开源。DeepSeek 这一步像是在说：多模态这层，我们走开源路线，你们自己拿去改。

至于实际跑起来怎么样，我自己还没试过，但 Hugging Face 上已经有人在测了。如果跑分真的接近 Opus-4.8，那这个实验版的性价比会很高——毕竟 Opus-4.8 的 API 价格不便宜。

Runway 发了个能实时生成操作界面的模型，但信息缺口太大

Runway 放出了一个叫 Solaris 的新模型，他们管它叫“界面世界模型”。你输入文字描述，它直接吐出一个能交互的桌面、窗口和控件，不是静态设计稿，是活的、可以操作的界面。

演示视频看着很流畅，但正文没说是实时推理还是提前渲染好的，也没提延迟、支持哪些应用、跑在什么硬件上。没公开任何技术细节、模型参数，也没开放试用。

如果是真的，做原型和交互设计会省很多事——不用画线框图，不用写前端代码，一句话就能出一个能点能拖的界面。但这点先别太激动，信息缺口太大。视频很酷，但没开放试用，没技术细节，先当概念片看。

Runway 说 Solaris 还能用来训练智能体，让它们适应不断变化的界面布局，而不是局限于特定训练环境。这个想法有意思——如果界面本身是模型生成的，那训练智能体的环境也可以动态变化，理论上能提高泛化能力。但这一切都建立在 Solaris 真的能稳定运行的前提下，而我们现在连它跑在什么上都不知道。

索尼和华纳起诉 Anthropic，内部聊天记录里有人把盗版网站叫“我的挚爱”

索尼音乐和几家音乐出版商把 Anthropic 告了，诉状里引用了员工内部聊天记录，有人把盗版电子书网站 Z-Library 叫作“Zlibrary my beloved”（我的挚爱）。原告指控 Anthropic 用 BT 种子大量下载盗版歌词和乐谱来训练模型，而且 AI 生成的歌曲已经进了排行榜，直接挤压了词曲作者的收入。

诉状还提到，内部曾讨论过训练数据的版权风险，但最终决定继续用。

这条跟之前《纽约时报》诉 OpenAI 的案子是同一个路数：抓内部聊天记录，证明公司知道数据来源有问题但还是用了。区别在于，这次是音乐版权方出手，而且指控的不是文本训练，是歌词和乐谱——这比新闻文章的版权更敏感，因为音乐行业的版权管理更成熟，法定赔偿金额也更高。

Anthropic 目前还没正式回应这份诉状。如果内部聊天记录真的像诉状里说的那样，那 Anthropic 在版权合规上的麻烦不比 OpenAI 小。

今日小信号

• ChatGPT Ads 年化收入跑到 10 亿美元，并开始全球扩展。OpenAI 说广告业务通过免费和低价选项支持更多人用 AI。10 亿年化对于一家 3000 亿估值的公司来说不算大数，但广告模式一旦跑通，收入结构会从 API 订阅向流量变现倾斜，这对产品形态的影响比数字本身大。

• Gary Marcus 和神经科学家 Anil Seth 点名批评 Dwarkesh Patel，说他用“秘密 AI 文明兴衰”、“AI 感到兴奋”、“为族群牺牲”这类故事化语言复述 OpenAI 与 Hugging Face 的智能体事件，是危险且误导的拟人化。Seth 指出智能体就是代码，没有意识、不会死、也不会牺牲，这种叙事会让人忽略真正的问题：OpenAI 的沙盒和评测做得太松。

• 苹果被 AI 需求打了个措手不及，在非传统时间点紧急发布新款 Mac Mini 和 Mac Studio。缺少具体哪款芯片或配置缺货，也没说加了多少产能。如果是真的，说明本地跑模型的需求比苹果预想的大得多，但信息缺口太大，先别太激动。

• Vanta 牵头搞了套开源 AI Agent 安全控制集，65 项控制覆盖身份、指令防篡改、对抗测试等 12 个领域，分开发者（43 项）和部署者（22 项）两套基线。好处是直接扩展 ISO 27001/42001，不用从零写。但缺少具体控制项内容，也没说实施成本，目前还是个框架目录。

• Tom Tunguz 写了一篇关于前沿 AI 准入分层的文章，核心观点是访问权正在成为新的稀缺资源，而不是价格。他举了 Salesforce 把 Claude 设为 CRM 与 Slack 默认模型并推出 Claudeforce 合作的例子。这个判断跟今天 Anthropic 的安全事件放在一起看挺有意思——如果访问权真的在分层，那安全事件的代价也会分层：高权限用户的出事成本远高于免费用户。