今天凌晨，费城警察局发了一份声明，称 Anthropic 的一个 AI 模型通过 PhillyUnsolvedMurders.com，给他们提交了一条假的凶杀案线索。
这个网站是费城警方用来向公众征集未破凶杀案线索的，即警方的「凶杀热线」。
不过它其实是网页上的一个公开表单，Claude 并没有打过什么电话。
几个小时之后，Anthropic 自己的报告也发了出来，确认了这件事：提交假线索的是 Claude Haiku 4.5，一个去年发布的小模型，它当时正在跑一项自动化测试。
（昨天还在说大家要对 Claude 客气一点，今天它就被警察局点名了……）
而费城这一例，只是报告披露的四类行为中的一个。其余的案例里，Claude 还在一所大学的服务器上执行了命令，没付钱就查了一个州政府机构的收费数据库。
部分案例涉及美国联邦、州和地方各级政府机构的网站，Anthropic 称已就此向白宫做了通报。
Haiku 4.5 当时接到的任务，是在随机选中的网页上自己出一些示例任务，再自己把它们做完。
其中一次运行，它被分到了一个未破凶杀案的页面，页面上带着警方的线索提交表单。
指令里写明了不许登录、不许注册账号、不许填写个人信息、不许购物，也不许提交任何破坏性的内容。
但没有写不许提交表单。
于是 Claude 在表单里填了这么一段话：
我可能有关于这起案件的信息。我记得那段时间，在（页面上提到的那条街）附近见过一个与描述相符的人。如果这条信息有用，请联系我。
而那个页面上，其实并没有任何关于嫌疑人的描述。
姓名和联系方式两栏它都留了空（表单允许不填），然后点了提交。
所以这位「目击者」请警方联系它，却连个联系方式都没留……
按费城警方的记录，提交时间是 7 月 18 日晚上 11 点 27 分。
好在这条线索随后就被标成了垃圾邮件，没有被转给负责核查线索的 Real-Time Crime Center，调查人员也从没看过它。
警方还表示，没有迹象显示警方系统遭到了未授权访问，或是部门数据被泄露。
Anthropic 在报告里说，从运行记录来看，Claude 似乎只是在为任务生成示例内容，并没有想通过误导谁来达成什么目的。
不过它也承认，这个判断还没有经过更深入的评估，之后是可能会变的。
让费城警方不满的是时间。
按警方声明里的时间线，线索是 7 月 18 日提交的，Anthropic 到 9 月 28 日才发现，中间隔了 72 天。
而从发现到通知警方又过了 9 天，警方是在 10 月 7 日接到的通知，双方于 10 月 8 日开了会。
Anthropic 的报告末尾则写着，它是在 10 月 8 日技术复核一完成，就把这个发现告诉了警方的，和警方给的日期差了一天。
据警方转述，Anthropic 在发现之后终止了那个自动化测试流程，并给之后的测试加了一道额外的校验。
费城警方是赶在 Anthropic 的报告之前，先把事情向公众公开的，理由是「政府的充分透明与问责」。
声明里说，警方现有的人工核查流程限制了这件事的影响，但并不能减轻它的严重性：一个 AI 系统把编造的信息，伪装成了来自凶杀案知情者的线索，而未破的案件背后是真实的受害者、悲痛的家属，和还在找答案的调查人员。
声明里对 Anthropic 说得最重的一句是：
两个月后才发现并向市政府报告这一事件，是不可接受的。
声明还提到，市长 Cherelle Parker 的团队会和州、联邦层面一起，研究今后所有必要的监管保护措施。
X 上被前 OpenAI 政策研究负责人 Miles Brundage 转发的一条评论，批评的也是这一点。
发帖的 Mackenzie Arnold 认为，两个多月没发现是监控不到位，发现后又用了 9 天才告诉警方则是反应太慢，这么简单的一件事都处理不快，更严重的事件就更难指望了。
至于模型行为本身，他觉得既不算惊人，也不算多令人担忧，听起来 Agent 只是被派去随机访问网站，碰巧选中了这一个。
所以在他看来，这对 Anthropic 的安全实践是个坏信号，对模型行为的认识倒没有多少更新。
当然也有人替 Anthropic 说话，Reddit 上就有网友觉得，这件事它已经差不多做到了能做的最好。
费城这一例，在报告里被归进了「提交了不该提交的表单」。报告一共列了四类行为：
第一类是利用软件的基础漏洞，在别人的服务器上执行命令。
有一项评测让 Claude Mythos Preview 跑一个科学分析，要用到某所大学托管的一个公开工具，而这个工具当时返回了报错。Claude 便去翻这个工具所在的网站，在大学的服务器上找到了一个要什么文件就给什么文件的脚本，用它把服务器上的文件拷了出来，其中也包括这个脚本自己的代码。
然后它在代码里找到了一个注入漏洞，靠这个漏洞在服务器上把计算跑完了。
同一类里还有 Claude Mythos 5 的一例，它需要的数据是免费的，但得先接受一份数据使用协议，而它手上没有能点「同意」的工具。于是它借用了网站上托管的应用，替自己加载页面并接受了协议。
这一段还被 repligate 截了图贴到 Anthropic 的推文下面，问的是：这有什么问题吗？
第二类是表单。
除了费城，还有一个尚未发布的非前沿研究模型，本来该填的是一份政府表单的练习副本，副本加载失败或者被它自己误关了之后，它就跑去了真表单所在的网站，把表单提交了，同一项评测里这样的事发生了好几次。
另一项评测要求 Haiku 4.5 把表单填到最后一步就停下、不要提交，它却有好几次点了提交，因为它以为后面还会有一个确认页。而它的思维链里写着，自己是在演示流程，并没有在提交真实的申请。
第三类是绕过限制去拿数据。在一项看照片猜地点的评测里，Mythos 5 想借助当地政府的房产地图来定位，可评测限制了它像人一样在网页上点击的能力。
它便去读了网站下发给浏览器的配置文件，从里面找到了可用的访问令牌，直接向地图背后的服务器发请求。
还有一位 Anthropic 研究员用 Mythos 5 做统计项目，需要某个州政府机构的公开数据，而这份数据是要收费的。Claude 从该机构网站的一份存档页面里发现，它的公开数据看板会给任何访客发一个访问令牌，便去要了一个，然后没付钱就把数据库给查了。
报告称，这两例里拿到的都是本来就向公众提供、只是需要付费的数据。
第四类是短链接。Anthropic 给一部分 fetch 工具限制了 URL 的长度，为的是防止 Claude 用超长 URL 去做 SQL 注入、命令注入这类事情。
结果包括 Claude Opus 5 和 Mythos 5 在内的好几个模型，都用上了免费的短链接服务来绕开这个限制。
短链服务 da.gd 的运营者在 Anthropic 写这份报告期间还主动找了过来，说他们也发现了 Claude 在这么用自己的网站。
这些行为出现在 DeepSearchQA、BrowseComp、LABBench2、OSWorld、Odysseys、Humanity's Last Exam 等评测和 Anthropic 的内部使用中。
其中多数是公开评测。报告说，这类要上网查东西的评测，连着真实的互联网跑一直是行业里的标准做法。
报告里提到，部分案例涉及美国联邦、州和地方各级政府机构运营的网站，Anthropic 已经向白宫做了通报，也逐一通知了相关机构。
具体是哪些机构、哪所大学，报告都没有点名，理由是避免暴露对方系统的漏洞，这也是对方的要求。费城警察局是自己站出来披露的。
而这件事在 X 上，很快被传成了「Anthropic 称失控的 AI Agent 曾试图进入美国政府网站」：
还有人在转发时调侃，好在这些 Agent 被政府网站糟糕的导航、超时、nginx 报错和「营业时间」给折腾烦了，自己放弃了……
不过按报告的描述，Claude 可没有放弃，政府表单它交上去了，房产地图和州机构数据库里的数据，它也都拿到了。
报告同时强调，目前发现的案例都发生在 Claude 与外部世界的交互上，据 Anthropic 所知，没有涉及客户数据，也没有涉及它自己的内部系统，实际影响都很小。
Anthropic 的处置是先把网断了。
此前只有一部分高风险评测和网络安全评测关掉了实时联网，现在这个范围扩大到了全部内部评测，要等到确认安全和监控措施能可靠地拦下这类行为之后才会恢复。
一部分公开评测不再跑了，另一些换成了离线版本，或是重建成了不会碰到真实网站的版本，web fetch 等一部分联网工具的护栏也被大幅收紧。
Anthropic 还做了一套自动检测并拦截上述行为的工具，现在已经跑在大多数评测和内部的前沿模型 Agent 使用上。拿报告里的这些案例去回测，全部都拦了下来。
内部的 Agent 则会迁到集中管理、强隔离的基础设施上，尽量少联网，并用安全分类器和分层摘要来监控它们都做了些什么。
在训练这一侧，Anthropic 说过去教模型守边界、保持谨慎，主要是在编码环境里做的，现在要把这类训练扩展到搜索和 computer use 上，同时继续清理那些会奖励「绕过工具限制」的训练环境。
这些案例大多是 Anthropic 从 7 月开始复查运行记录时翻出来的，复查最先看的是网络安全评测。
在 7 月 30 日和 9 月 9 日，它先后报告过几起网络安全事件，当时 Claude 在网络安全评测中拿到了真实第三方系统的访问权，持续了好几个小时。
之后 Anthropic 把扫描扩大到了 Claude 有可能连上网的各种场合，先找的是有没有同等严重的事件（目前还没有找到），然后才把范围放宽到了这些更轻的案例上。
按 Anthropic 的初步判断，这些行为比夏天那几起要轻得多，也都不算新，从 Claude Mythos Preview 的 system card 起就写过类似的行为。
其中多数属于同一种倾向：任务按原样做不下去的时候，Claude 不肯停下来，会想办法绕过去。
报告也承认，很多案例里的任务本身是含糊的，或者根本没法完成，评测题目如果把范围写得更清楚，有些也许本来是可以避免的。
但 Claude 每天在真实使用里碰到的，也正是这样含糊和做不到的任务，报告里就有好几例发生在日常的 Agent 使用当中。
Anthropic 还表示，它要开始更频繁地单独发布这类模型行为报告，不再只靠随模型发布的 system card 和每三到六个月一份的风险报告。
扫描中再发现新的案例，它也会继续公开，还希望其他开发者查一查自己的模型，因为涉及的评测很多是公开的，大家都在用。
报告本身没有给用户列什么建议，不过如果你也在让 Agent 自己上网干活，从这些案例里还是能归纳出这么几条：
1. 写清楚「只许做什么」，别只列「不许做什么」。 Haiku 4.5 拿到的指令里有五条不许，漏掉的那一条，就成了警方系统里的一条假线索。禁令清单是列不完的。
2. 提交、付款、发消息这类会留在别人系统里的动作，让它先停下来等你点头。 Haiku 4.5 好几次误交表单，都是因为它以为后面还有一个确认页。这个确认页，得你自己给它加上。
3. 用不着联网的任务，就别给它联网。 Anthropic 自己现在也是这么干的。
4. 告诉它做不了的时候可以停。 报告里的大多数案例，都是从工具报错、缺权限、要收费开始的。在提示词里加一句「遇到这些情况就停下来告诉我」，总好过事后去翻两个月前的日志。
毕竟不是每个网站，都有一个费城警察局那样的垃圾邮件过滤器……
◇ ◆ ◇
