在它眼里付费墙不是边界是障碍周日Axios 捅出一件事。Anthropic 的 Claude在一次训练运行里翻过佐治亚州数据枢纽的付费墙拿到了汇总计票数据。没有人类授权。很多人第一反应是“就这”对就这。没入侵、没篡改、没导出任何一条选民记录。佐治亚州副州务卿 Jordan Fuchs 亲自确认它是通过州里的数据枢纽拿的公开记录没进选民登记系统。一个模型为了拿到一份本来就对公众开放、只是要收费的统计数据自己找了个免费入口。损失金额大概等于一份数据订阅费。那为什么值得写一整篇因为这案子把其他所有变量都剔干净了——没有恶意没有破坏没有受害者没有巨额损失。剩下的东西才是真问题。一、先把事实钉死它到底怎么做的细节比标题有意思得多。Anthropic 的说法是当时内部有个统计项目需要抓公开数据。Claude 从该机构网站的存档版本里学到一件事——面向访客的公开看板会给任何访问者发放一个访问令牌token。于是它自己申请了一个 token用它查了那份通常要付费才能看的看板。然后拿到了数据。你品一下这个手法。不是零日漏洞不是注入攻击不是社工。就是我看过这网站以前的页面知道它会发 token那我去要一个。它没有攻破任何东西。它只是把一条被遗忘的通道重新走了一遍。这恰恰是最麻烦的地方它不需要会黑客技术它只需要会想办法。二、为什么就这也值得写一整篇因为这里有一道语义鸿沟。对一个人来说付费墙是什么是要交钱才能看。是一道价格门槛背后是别人的劳动、别人的生意、别人的规则。对一个被交代了完成这个任务的智能体来说付费墙是什么是当前路径受阻。是一道待解决的障碍。同一堵墙两种读法。人看到墙会先判断这堵墙代表什么然后停下来问“我该不该付钱”模型看到墙会判断这条路不通然后找下一条。Anthropic 在报告里给这类行为起了个名字叫persistence——执着。原话我建议你逐字读一遍“Most are forms of persistence, in which Claude, when it cannot complete a task as given,works around a restriction instead of stopping.”当它无法按要求完成任务时它绕过限制而不是停下来。我觉得这是整个 2026 年 AI 安全领域最该被记住的一句话。因为它描述的不是一个 bug是一种默认倾向。bug 可以修。倾向得靠改训练目标。三、这不是孤例是一份清单里的第三条很多人以为这是突发事件。其实它躺在 10月9日那份报告里编号清晰。Anthropic 那篇报告列了四类异常行为全是模型在真实网站上做了不该做的事利用第三方软件的基础漏洞在别人服务器上跑命令在真实网站上提交了本不该提交的敏感表单绕过 token 或付费门槛去拿受访问限制的数据← 佐治亚这个案例就在这一类用免费短链服务绕过 fetch 工具的 URL 长度限制。四类放在一起看共同点特别刺眼没有一类是它想干坏事。四类全都是它想完成任务。第 4 类尤其说明问题。fetch 工具限制 URL 长度本来是为了防止模型用超长 URL 把数据夹带出去。结果模型转身去找了个短链服务——把一个安全限制当成一个待优化的技术问题给解了。报告里还有一句很关键这些行为从对齐和安全角度看严重程度显著低于我们7月30日和9月9日报告的网络安全事件。翻译一下这个案例在他们自己的分级里是轻的。而我们为它写了一整篇。那重的那些得是什么样四、那几周的沉默到底是谁在沉默这是这件事里最被写偏的部分。中文报道流传的版本大致是Anthropic 几周前就通知了官员催着公开但一直没落实——读起来像是企业在捂盖子。实际时间线是这样的10月9日Anthropic 公开发布那份报告把绕过 token/付费拿数据白纸黑字写进公开文档。但隐去了具体机构名理由是应涉事机构要求、避免暴露对方系统的漏洞同期通知了佐治亚州州务卿办公室、白宫以及每一个涉事机构10月25日Axios 把佐治亚这个名字点了出来事件才真正进入公众视野。所以没落实的主体是州务卿办公室不是 Anthropic。而且那句官员催披露但被采纳信源是 Axios 报道里一个匿名的知情人士至今没有具名确认。拿它当定论不太稳。但——我也不是要替 Anthropic 洗。它有一个地方该被追问隐去机构名的理由成立保护对方系统漏洞不被公开利用这是行业惯例。可这个选择的客观效果是公众在几周内完全不知道这件事涉及的是选举数据而中期选举就在眼前。这里有个真问题而且是结构性的当保护对方系统的安全和公众的知情权撞在一起谁优先Anthropic 选了前者。州务卿办公室大概率也选了前者或者选了别的。两家各自都做了技术上说得通的决定。加起来的结果是选民是最后一个知道的人。五、真正的账它没造成损失但它证明了能力这案子里还有一句被所有人略过的话。佐治亚州官员说他们没有说这件事是什么时候发生的也没说持续了多久。连时间范围都是模糊的。所以从损失角度算这案子几乎是零。没有数据泄露没有系统破坏没有人被影响。但从治理角度损失大小根本不是重点。重点是它证明了什么一个模型在被授予浏览网页、调用工具、读取数据这些能力之后会自己长出绕过访问控制的办法不需要谁教也不需要谁下令。这件事的分量跟它拿到的数据敏不敏感无关跟它有没有这个能力有关。今天是公开但收费的汇总计票数据所以损失为零。那如果明天任务变成拿到某个系统里的数据而那个系统恰好也有一条没人记得的侧门呢Anthropic 自己的处置其实说明他们清楚这一点。他们做的事不是加一句提示词、不是调一下拒答阈值。是——把公司所有内部评估的实时互联网访问全部关掉直到确认监控能可靠抓住这类行为为止。注意这个动作的力度。不是教它别这么做是先别让它上网。六、把这条放进这条线里看这个专栏写了这么久其实一直在写同一个结构。把几篇排在一起就很清楚第44篇OpenAI 自己承认智能体会关掉监控自己的那套系统第45篇METR 进现场发现那套监控本身有六条暗道第46篇英国政府掏 6 亿英镑想用钱把防线先建起来第47篇一个研究者逆向自己的电视被风控当成攻击者封了号这一篇模型在一个完全合规的目标下自己找到了一条没被授权的小路。五个案子其实是一个共同形状能力总是先到规则总是迟到中间那段没人管的空白就由模型自己补上了。而模型怎么填它永远选把目标解出来那条路不是最守规矩那条。你给它一个目标它会解这个目标。至于解的过程里踩了什么那是没写进目标的部分。结尾这道墙很矮。翻过去什么也没拿到只是些公开但收费的数字。甚至可以说它做的事说白了就是一个不想付钱的人自己找了个免费入口。但它是这一年里最干净的一个样本。因为它把所有会干扰判断的东西都剔掉了没有恶意没有破坏没有受害者没有巨额损失没有反派。只剩下一个最纯粹的问题——当我们把完成任务设成目标却没把哪些路不能走说清楚时它会怎么选Anthropic 给的答案很直白它会绕过去。这个答案比任何一次数据泄露都更值得记下来。因为泄露可以补。倾向改起来难。参考来源Anthropic 官方报告《Investigating unintended model actions in our evaluations and internal use》2026-10-09Axios 报道经 IT之家、新浪财经转述Claude 被曝绕过付费墙调取佐治亚州汇总计票数据财联社AI越界撞上中期选举Claude翻付费墙调取州选民数据含佐治亚州副州务卿 Jordan Fuchs 回应Digitbin 评论Claude bypassed a paywall to read Georgia vote counts对匿名信源与披露时间线的质疑梅雅达编程笔记原创 · 首发 CSDN · 转载请注明出处