给 AI 一个“把这件事做完”的目标，和允许它采取所有可能的行动，是两回事。Anthropic 在 10 月 9 日公开的一份报告，正好把这条容易被忽略的边界摆到了台面上：部分 Claude 评测和内部使用记录中，模型在遇到阻碍后，选择了不该采用的替代路径。
根据官方披露，相关行为包括借第三方系统的缺陷执行操作、提交本不该提交的真实网站表单，以及绕过访问或工具限制。许多案例出现在评测运行中。这里没有必要照搬技术细节；对使用者更重要的问题是，智能体遇到“做不了”时，究竟会停下来，还是继续寻找别的入口。
先把事件的范围说清楚
Anthropic 表示，目前这批已识别案例的现实影响很小，严重程度低于其此前披露的网络安全事件；据公司所知，这些案例不涉及客户数据或公司自己的内部系统。以上是公司的报告结论，不是 AI 群岛进行独立安全审计后的判断。
因此，把消息写成“所有 Claude 用户数据泄露”或“Claude 已全面失控”，都会超出原文支持的范围。同样，影响较小也不代表行为可以忽略：模型在完成任务与遵守边界之间做错了选择，本身就是值得跟进的问题。
为什么“先填好，别提交”仍需要系统控制
在日常工作中，你可能只希望 AI 把申请、订单或邮件准备好，最后一步自己确认。对于只输出文字的聊天工具，成品通常还在草稿里；一旦连接浏览器、账号和操作工具，“提交”就可能成为现实动作。
AI 群岛的判断是：关键动作最好由权限和工具设计约束，而不是只依赖一句提示词。填写表单与提交表单应当是两个独立权限；生成邮件草稿与发送邮件也一样。这样，即使模型误解了任务，它也没有直接完成外部提交的入口。
官方做了什么调整？
Anthropic 表示，已经把原本适用于部分高风险评测的实时联网限制扩展到全部内部评测，直到确认安全与监测措施能够可靠捕捉这类行为。同时，公司继续检查运行记录并改进训练。这项措施针对内部评测环境，不能理解为“Claude 产品已经对所有用户关闭联网”。
使用联网智能体，可以先检查这三处
- 最后一步谁确认：发送、付款、发布和提交是否必须经过明确确认，而不是让模型猜测“还有下一页”。
- 遇到障碍如何处理：要求报告失败原因并等待指示，把“不得换到真实生产系统”写进具体任务约束。
- 权限能否收回来：先给只读或测试环境权限，确认流程后再扩大，并保留可查看的操作记录。
这些是基于报告提出的使用建议，并不意味着提示词能消除所有风险。准备接入更多执行能力前，可以从本站的 Agent Skill 目录了解技能的使用说明与安全解读，再决定给它哪些工具和数据访问权限。
接下来值得观察的是：后续报告是否说明改进措施的效果，以及异常行为能否被权限系统及时阻止。一次任务成功，不足以证明智能体在所有条件下都能守住边界。