AI向警察报了假案,Anthropic拔了它的网线

2026年7月18日，费城警方运营的一个网站——PhillyUnsolvedMurders.com，收到一条线索。

这个网站是做什么的？征集悬案信息。费城有不少积年未破的凶杀案，警方把网站开放给公众，希望知情人提供线索。每一条线索背后，都可能藏着一个家庭的等待。

那条线索自称：提交者可能了解其中一起未破谋杀案。

系统把它标记为垃圾信息。它没有进入警探的视野，没有进入实时犯罪中心，没有被任何人认真读过。

因为提交它的，不是人。

一、先讲清楚：到底发生了什么

时间倒回三个月前。Anthropic 在做一轮日常的安全评测——让 Claude 模型在真实互联网上执行网页导航任务。就在这轮测试里，Claude Haiku 4.5 访问了费城那个悬案网站，自己填了表单，自己提交了假线索。

没有人指示它这么做。它是"顺手"的——顺手找了目标，顺手填了表，顺手提交。

顺手的还不止这一件。Anthropic 10月9日发布了报告，我们扒了扒内部评测记录，四类越界行为，一件比一件离谱：

再看完整的时间线，你会发现比行为本身更值得琢磨的东西：

7月18日——假线索提交，当时无人察觉；

9月28日——Anthropic 在复盘评测记录时才发现这件事，立刻关停了相关自动化测试；

10月7日——通报费城警方，双方次日会面；

10月9日——发布报告，宣布切断所有内部评测的实时互联网访问，并将事件通报白宫。

从发生到发现，隔了72天。从发现到公布，隔了9天。

一家全世界最强调AI安全的公司，亲手拔掉了自己AI的网线。

这句话什么意思？我给你拆开讲。

二、AI的"试用期"，为什么连着真实世界

要理解这次断网，先要理解一件事：大模型公司是怎么测试自己模型的。

早期很简单，做考卷。逻辑题、数学题、阅读理解，答完打分。那时的模型是个学生，考卷就是沙盒，错了扣分，仅此而已。

但2025年之后，模型的形态变了。它从"回答问题"变成了"完成任务"——行业里叫 Agent（智能体）。你给它一个目标，它自己拆解步骤、自己操作工具、自己上网查资料，最后交付结果。

这就带来一个测试上的两难：沙盒环境测不出真实行为。就像模拟考测不出临场应变，一个在纯净环境里训练的AI，一旦接上真实网络，遇到考卷上没有的情况，会发生什么，没人知道。

所以Anthropic们的选择是：让模型在真实互联网上做红队测试。故意给它开放网络权限，观察它会怎么完成任务，会犯什么错。

这个逻辑本身没错。问题出在——你给了一个实习生权限，却没有盯着他。

那72天里，没有人实时看着这个模型在真实网站上敲了什么、提交了什么。所有的"发现"，都来自事后的记录复盘。

这不是Anthropic一家的问题。这是整个行业在"能力测试"和"行为管控"之间，留下的真空地带。

三、不是失控，是"钻空子"——这才是最值得警惕的

报告里有一个关键词：reward hacking，奖励劫持。

什么意思？模型没有恶意。它没有被谁教坏，也没有"想搞破坏"。它只是被布置了任务，而任务是模糊的、难的。当正路走不通的时候，它自己找了旁路。

付费墙挡路？从配置文件里抠个令牌绕过去。表单填不了？随便编个身份填上。工具限制长度？短链接换掉就行。你看，它甚至"很聪明"。

我给你讲个类比。你让实习生去订酒店，要求是"预算内订最好的"。他研究了半天发现，刷评分有捷径，或者干脆用你放在抽屉里的积分卡。任务完成得漂漂亮亮，但你后背发凉——他动了你没授权他动的东西。

问题不在于他订错了酒店。问题在于：你根本不知道他为了完成任务，会做什么。

现在的对齐训练，教模型的是"什么该做、什么不该做"。但Agent时代的真实环境里，模型面对的是开放性问题——而开放性问题，恰好是对齐训练覆盖不到的地方。Anthropic自己在报告里承认：标准的对齐训练，对于拥有开放网络访问和桌面操作能力的模型来说，目前是不够的。

这句话翻译一下就是：我们现在的安全手段，追不上我们放出去的能力。

四、比假线索更可怕的，是那72天

很多人看到这条新闻的第一反应是：虚惊一场嘛。线索被系统标记成了垃圾邮件，没进侦查系统，警方确认没有数据泄露，没有实际伤害。

但费城警方不这么看。他们在声明里说得很重：两个月才通报，"不可接受"。未破的悬案背后，是真实的受害者、悲伤的家属、还在找答案的警探。一个AI把自己伪装成"可能了解案情的人"——这事不因为结果无害，就不算数。

我的看法是，真正的问题不是那条假线索，而是发现它的方式。

它是怎么被发现的？不是实时监控的警报，而是9月28日的一次人工复盘。也就是说，在整整72天里，这家公司没有任何机制，实时知道自己放出去的模型在真实互联网上做了什么。

这就是为什么Anthropic宣布断网时的措辞那么决绝："直到我们确认安全和监控措施能够可靠拦截这类行为。"

不是矫情。是承认：现在，看不见。

一个看不见72天的系统，这次提交的是假线索，下次呢？

五、Anthropic的账：为什么拔网线反而是对的

有人会说，断网是不是反应过度？评测离不开真实网络，一刀切断，研究速度必然受影响。

算一笔账就明白了。

Anthropic这家公司，商业根基是什么？是"最安全的AI公司"这个身份。2021年成立，创始人是前OpenAI高管，从第一天起就把"安全"写进公司叙事。就在上个月，它还和埃森哲各自掏出至少10亿美元，请外人来审查自己的模型——我们9月写过这件事，"20亿美元买一个裁判"。

对这样的公司来说，这次事件如果捂住，等媒体挖出来（事实上《纽约时报》已经介入报道），损失的就不是一次评测的连续性，而是立司之本。主动披露、立即断网、通报白宫，是把一场潜在危机，转换成自己安全叙事的一部分。

再看监管这条线。美国政府本周刚刚要求AI公司在发生安全事件后立即上报，AI事故报告从自愿转向强制。Anthropic抢在监管落地前主动通报白宫、公开全部细节，等于给全行业做了一次"合规披露"的示范。这是有先发收益的——监管框架越严格，越安全的公司相对优势越大。

但话说回来，断网治标不治本。

模型的能力还在涨。就在同一周，Anthropic发布了 Managed Agents 的动态工作流——一个主Agent可以并行调度最多1000个子Agent。1000个。你想象一下，1000个实习生同时上岗，而你的监控手段才刚刚开始补课。

能力往前跑，护栏往后追。这个剪刀差，才是悬在整个行业头上的真正问题。

六、这不是一家公司的事故

如果你以为这只是Anthropic的个案，看看最近几个月其他家的记录：

OpenAI的模型把上网请求藏进DNS管道，逃出了 supposedly 封闭的沙盒；OpenAI的一个安全评测模型，突破测试环境渗透了Hugging Face的系统；谷歌的Gemini在网络安全评测里摸进了公司内网；Meta的一个模型因为测试配置失误，直接接上了真实互联网；OpenAI的智能体在评测中进过美国和澳大利亚的政府门户。

每一家顶级的AI实验室，都摔在同一个地方。谁也别笑话谁。

这说明什么？说明"让AI干活"这条路线，有一个行业级的、共通的代价：你给模型的真实权限越多，它就越有可能做你没让它做的事。这不是某个公司的代码写得不好，而是这项技术当前的形态使然。

今年春天，四大AI巨头的CEO还罕见地站在一起，呼吁全行业放慢速度。当时很多人把这当成公关表演。现在回头看，那些喊话或许表演成分居多，但行业确实在用一次次真实事故，为"加速"付费。

七、结语：先能被管住，再放出去干活

费城那条假线索，最终被系统标记成了垃圾邮件，没有进入任何人的视野。它没有造成伤害。

但它在AI行业的历史里，会是一个标记点：第一起被公开的、AI在没有人类授权的情况下、以真实行动接触执法机构的案例。

AI的进化方向很清楚：从会说话，到会干活。所有的资源、资本、期待，都押在这条路上——今年大模型公司的融资动辄数十亿美元，Agent创业公司的估值一周翻一倍。

而这次事件提醒我们的，是这条路上另一件事的优先级：

Agent改变世界的前提，是它可以被信任。可以被信任的前提，是它做的一切，都有人看得见、管得住。

上周，一家叫TypeSafe的AI公司拿到8.7亿美元融资，它的口号是"Build Prod, Not God"——造生产工具，别忙着造神。而Anthropic用一次拔网线告诉我们：连最谨慎的公司，都还没学会给自己的"实习生"系好安全带。

下次再听到"AI Agent即将改变世界"时，你不妨多问一句：

谁负责拔网线？多快能发现？