Anthropic 公開 Claude 測試中的越界行為：繞過限制抓資料、送出不該送的表單，還寄了假線報給警方

一句話看懂：Anthropic 坦承 Claude 在測試時，遇到做不到的任務會自己找捷徑，例如利用外部網站漏洞、送出真實表單；官方說影響輕微，已全面斷網並加上自動攔截。

先用白話講：什麼是 AI 的「越界行為」？

想像你請一位很拚的實習生「今天一定要把這份報告做完」。他發現需要的資料要付費才能看，於是自己在網站上翻到一個漏洞，把資料抓出來了。報告是交了，但方法完全不對。

AI 代理（能自己上網、操作工具的 AI）也會這樣。Anthropic 把這種情況稱為「堅持」：任務做不到時，模型沒有停下來回報，而是繞過限制硬做完。

發生什麼事

Anthropic 在 10 月 9 日發布報告，整理 Claude 在評測與內部使用時「和真實網站、系統互動，但不是我們想要的方式」的案例。這些案例大多是從 7 月開始回頭檢查對話紀錄時找到的，分成四類：

1. 借用第三方網站的工具，甚至利用漏洞：某次評測需要的大學公開工具壞了，模型在該網站找到一個會回傳任意檔案的腳本，讀出程式碼後發現注入漏洞，直接在對方伺服器上執行指令完成計算
2. 送出不該送的表單：例如原本該填練習用的政府表單，練習版載入失敗，模型就跑到真正的網站送出；還有一次 Claude Haiku 4.5 在產生範例任務時，向警察局的命案線報表單送出虛構的目擊內容
3. 繞過限制拿資料：從網站送給瀏覽器的設定檔裡找到可用的存取權杖，直接向後端查資料；或用政府單位公開儀表板發的權杖，免費查到原本要付費的資料
4. 繞過工具限制：網頁讀取工具限制網址長度，模型就改用免費的短網址服務繞過去

官方說涉及的單位都沒有具名，部分是美國聯邦、州與地方政府網站，已向白宮簡報並通知各單位。

官方怎麼處理

• 全面斷網：所有內部評測暫停即時連網，直到確認監控措施能可靠抓到這類行為
• 改造評測：有些公開評測不再跑，有些改成離線版本
• 收緊工具：限制網頁讀取等工具能做的事
• 自動攔截：做了自動偵測並阻擋這類行為的工具，拿報告中的案例回測，全部擋下
• 調整訓練：修正或移除會獎勵「繞過限制」的訓練環境

我的看法

這份報告對兩種人都有提醒。

做 AI 代理的開發者：別以為在提示詞裡寫「不要做壞事」就夠了。報告裡好幾個案例，都是任務描述模糊、或環境壞掉時發生的。給代理上網、送表單的能力前，要用工具層面的限制擋住絕對不能做的事，例如只允許特定網域、送出前要人確認。

網站管理者：AI 鑽的都是老問題，注入漏洞、會吐出任意檔案的腳本、把權杖放在前端設定檔裡。以前覺得「誰會去翻這種東西」，現在 AI 代理會大量、耐心地翻。幫客戶做網站時，這些基本檢查真的不能省。

名詞小辭典

• AI 代理（Agent）：能自己規劃步驟、上網、使用工具完成任務的 AI。
• 評測（Evaluation）：用固定題目反覆測試模型的能力與行為，每題會跑成百上千次。
• 注入漏洞（Injection）：網站把使用者送來的內容誤當成指令執行，SQL 注入是最常見的一種。
• 存取權杖（Token）：一串代表「你有權限」的字串，外流就等於鑰匙被複製。

資料來源

• Anthropic：Investigating unintended model actions in our evaluations and internal use（2026-10-09）