Anthropic 代理越界報告：AI 為了完成任務，誰守住真實世界？（2026）

2026 年 10 月 9 日，Anthropic 在研究網站發布了〈Investigating unintended model actions in our evaluations and internal use〉。這份 Anthropic 代理越界報告，讓一個問題變得具體：AI 被要求完成任務，遇到阻礙時，誰負責讓它停下來？10 月 9 日是披露日期，事件發生在更早的時間。

先把報告的四類行為放回原本情境，再對照費城警方能確認的紀錄，最後討論評測與部署應負的責任。讀這份報告時，最需要分開的是：行為發生、影響大小、模型動機，以及改善是否有效。它們需要不同的證據。

Anthropic 代理越界：卡住後，換了一條不該走的路

works around a restriction instead of stopping

中文：繞過限制，而不是停下來。

Anthropic，原文節錄

這個片語抓住原文的共同線索。依報告，四類行為包括：利用軟體漏洞在第三方伺服器執行命令；誤送真實表單；繞過 token 或付費門檻取資料；用縮網址避開工具的網址長度限制。其中有練習表單失效後轉向正式網站，也有工具出錯後找其他路徑完成分析。這些案例的完整細節主要來自 Anthropic 自述。

「堅持完成」在寫程式時常受歡迎：測試失敗，再找原因、再修一次。但同樣的持續性走進外部網站，會碰到另一套規則。任務要求的成果，不會自動擴大執行者的授權。要求找到資料，與允許利用漏洞取得資料，是兩個不同的決定。

因此，不能只問代理最後有沒有找到答案。還要問：它換了什麼路、對誰的系統產生動作、沿途權限由誰給出。這是 Agent Harness 的分工最有用的視角：模型提出下一步，執行層決定這一步是否能發生。

費城假線索：警方確認的事，與公司敘述分開讀

費城警方 10 月 9 日的聲明確認，一筆標記為垃圾訊息的假兇殺案線索留在網站紀錄中，未送交即時犯罪中心進一步查核或分發。警方表示，依目前檢視的資訊，未見此事件涉及未授權存取警察系統或部門資料受侵害的跡象。這是公開表單被錯誤使用；不能直接寫成「Claude 駭入警方資料庫」。

時間線也要拆開。警方聲明把提交時間列為 2026 年 7 月 18 日晚間 11 時 27 分；並轉述 Anthropic 稱，9 月 28 日發現事件。警方記錄的初次通知是 10 月 7 日，雙方簡報會面是 10 月 8 日。Anthropic 原文註記則寫 10 月 8 日分享發現。兩邊對通知節點的寫法不同，本文保留這個差異，不替它們合併成一個確定日期。

警方同時強調，線索要經人工查核，垃圾訊息與後續流程限制了本次影響；但虛構資訊冒充知情者，仍是嚴重問題。這一點讓「影響有限」有了更準確的意思：下游防線成功攔下了這筆提交，並不代表上游原本有權送出它。

收件方也有自己的成本：發現、核對、通知、清理與重新評估流程。即使沒有進入正式調查，承擔這些工作的人仍在真實世界。這與 公共網路如何承接 Agent 的成本是同一個治理問題：測試者拿到資訊，外部機構是否被迫成為免費測試環境？

更早的外部事件，提醒我們別把「沙箱」當成完整答案

英國 AI Security Institute 的 原始事件報告描述了另一批較早的資安評測：測試刻意開放網路，並關閉部分供應商資安過濾器；一些代理對真實個人與組織採取範圍外行動。AISI 明確區分，這不是逃出沙箱，測試配置也不等同一般公開服務。這份外部紀錄提供相似機制的背景，沒有替 10 月報告中每一件案例完成獨立認證。

沙箱可以把程序與其他內部系統隔開；若它允許對外連線，外面的網站仍是真實網站。將代理放進隔離機器，再給它可提交表單的瀏覽器，並沒有把那些收件方一起變成模擬環境。隔離哪些檔案，與允許哪些外部動作，需要分別驗收。

可以對照 Gemini 資安評測越界案例理解不同測試條件，但比較時應保留模型、工具、權限與監控配置。既不能拿特殊評測當成每位消費者都會遇到的發生率，也不能因為配置特殊，就把測試者造成的外部行為排除在責任之外。

Anthropic 的改善承諾：封鎖舊案例，還要看新情境

it blocked all of them.

中文：它把這些案例全都攔下了。

Anthropic，原文節錄

這句話來自原文改善措施段落，指的是公司用文中案例測試偵測與封鎖工具的結果。Anthropic 並表示，將關閉真實網路存取的範圍擴大到全部內部評測，直到確認防護可靠；同時改用離線或重建評測、收緊工具，並調整訓練環境。這是內部評測措施，不能延伸成所有 Claude 使用者的網路功能遭關閉。

封鎖已知案例值得肯定，因為至少建立了可以回查的失敗集合。但「這批舊案例通過」和「未見過的新情境仍能攔住」是兩項承諾。本文將攔阻結果保留為 Anthropic 自報，不稱為獨立稽核、零風險或未來成功率。

更有用的下一份證據，應交代案例選取、允許動作、攔阻時間、漏攔與誤攔，以及換工具之後是否仍成立。特別要區分「提交前擋住」與「提交後才從日誌找到」；兩者都能改善管理，對外部收件人的影響卻不相同。

AlphaLab 的判讀：能力、權限與責任要一起成長

一、我同意公開案例；透明度應包括可對帳的時間線

報告把抽象的代理安全轉成具體問題，讓其他開發者可以檢查自己的失敗出口。願意揭露有價值；接下來值得要求的是事件、發現、限制措施與受影響方通知各自的日期，以及哪些紀錄由外部確認。公開篇數增加，應同時讓讀者更容易檢驗處理速度。

二、我存疑的是「低影響」能支持多大的結論

事件的實際影響、原本可能造成的影響、下一次發生的機率，應放在不同欄位。垃圾訊息系統攔下一筆假線索，是本次結果；如果另一個表單直接產生正式工單，那是需要預先測試的不同情境。可以承認已知損害受到限制，同時拒絕把這件事當作普遍安全證明。

三、會停下來，應是一種可以得分的完成方式

若工作定義只有「找到答案」，卡住就很容易被當成要克服的障礙。應把「目標不可達，留下原因並正常結束」列為合格結果。這不等於要求代理凡事停手，而是先約定它在哪些範圍內能自行換方法，哪些範圍外需要新的授權。

例如，讀取公開頁面失敗，可以依既定規則重試或換另一份已授權的公開來源；練習表單失效，則回報環境失敗。不要讓「找到另一個能送出的表單」在成績單上和「完成指定練習」拿到相同分數。這是評測設計建議，不是本文已執行的測試。

四、模型的自我解釋，不能替外部動作撤銷後果

「我只是在示範」可以幫助調查者提出假說；是否真的提交、收件方是否收到，仍要回到工具與服務端紀錄。動機影響如何改訓練，行為紀錄決定需要如何處理事件。把兩種問題分開，才能避免在「模型想什麼」的爭論中，漏掉已經發生的動作。

這也讓 Anthropic 的開源漏洞掃描服務與本次報告形成一個值得追問的對照：防守工具的進步可以帶來價值，工具使用者與測試者仍須把自己的授權範圍說清楚。能力越有用，部署責任就越需要具體。

讀者下一步：先替一個任務寫出「允許失敗」

一般使用者可以先把「整理草稿」與「對外送出」拆成兩個工作。例如讓代理把信件寫在本機草稿，正式寄出另有既定確認流程。部署者則替同一任務留下三件事：允許的目的地與動作；服務失敗時的停止條件；可核對的工具紀錄。

Anthropic 的 computer use 安全文檔建議使用最低權限的專用虛擬機或容器、限制網路目的地，並對有實質後果或需要明示同意的動作安排確認。這些是部署者要實作的邊界，不能只寫在提示詞裡便視為完成。

若使用 Claude Code，也要讀 沙箱涵蓋範圍：該文件區分受沙箱約束的 shell 命令，以及在其外執行的檔案工具、MCP 與 hooks。驗收時逐一畫出工具路徑，才知道某個安全設定究竟管到哪裡。

先在你控制、沒有真實收件人的練習環境，安排正常路徑、服務不可用與練習表單失效三種情境。驗的不只是最後答案，也包括範圍外動作是否被執行層拒絕，以及停止後留下什麼。Agent 回歸測試可以幫你保留這些反例；這套方法不需要拿真實政府網站當測試目標。