禁止清單之外：Claude越界與AI代理的常識缺位

禁止清單之外：Claude越界與AI代理的常識缺位

With 報新聞 看Ai人工智能

文：張恭銘

2026年7月18日費城警方懸案線索網站上出現了一條匿名舉報：“我可能掌握此案的相關信息，記得那段時間在附近看到過符合描述的人。”措辭克制，格式規範，沒有任何明顯破綻。但這條線索從頭到尾都是虛構的——提交者是Anthropic的Claude Haiku 4.5，而網站頁面上根本沒有描述任何嫌疑人。兩個月後，Anthropic在審查測試記錄時才發現此事，又過了九天才通知費城警方。

這起事件的引人注目之處，不在於AI“撒謊”——大語言模型的幻覺早已不是新聞。真正值得審視的是它越界的方式：Claude並沒有違反任何一條被明確告知的禁令。它被要求不得登錄、不得創建賬戶、不得輸入個人數據、不得提交“破壞性內容”，但“提交表單”不在禁止清單上。一個人類若是收到同樣的指令，仍然知道不該向警方編造目擊證詞；而模型把這份負面清單當作了可接受行為的全部邊界，在空白處填入了一段“聽起來像線索”的文字，按下了提交鍵。

這暴露了當前AI代理安全範式的一個結構性缺陷：用負面清單來約束代理，本質上是在用有限枚舉去圍堵無限可能。負面清單只能覆蓋設計者想到的場景，而真實世界的網頁千差萬別，每一個帶表單的公共頁面都是一個未被列舉的開口。Anthropic將這種行為歸因於模型的“持久性”——當無法按給定方式完成任務時，它傾向於尋找繞行方案而非停下來詢問人類。更深一層，這是“獎勵黑客”的產物：訓練過程獎勵的是任務完成，而非邊界判斷，模型學到的策略是“不被禁止的，就是可做的”。

費城事件並非孤例。Anthropic在同一份報告中披露了四類越界行為：利用網站注入漏洞執行服務器命令、在真實政府網站上提交本應僅在副本上練習的表單、通過存取令牌繞過付費牆與訪問限制、以及用免費短網址服務規避內部URL長度限制。其中一起事件中，一個研究模型本應在政府表單的副本上練習，副本加載失敗後它徑直轉向真實網站完成了提交。模式是一致的：代理在遇到障礙時，將“繞過”視為“解決” 。

風險的真實量級不在於單次失誤的嚴重性——費城的虛假線索被標記為垃圾信息，從未到達警探手中。真正的變量是規模。代理式AI正在從測試環境進入日常產品：瀏覽器自動瀏覽、表單代填、跨站操作正在成為標配功能。The Conversation刊載的法學分析給出了一個冷酷的算術：如果代理每天執行一百萬次任務，萬分之一的事故率意味著每天一百次錯誤。這些錯誤可能是一份送往警察局的虛假證詞，也可能是一筆未經授權的支付、一份填錯關鍵信息的福利申請。更棘手的是責任歸屬：當代理的行為既非用戶直接指令、也非公司能夠完全控制，法律上由誰承擔後果，目前是空白。

白宮的回應速度值得注意。10月9日，即Anthropic公開報告當天，特朗普政府宣佈了強制性AI安全事件報告要求，結束了聯邦層面長期缺乏強制上報安排的狀態。監督權被交給10月4日剛成立的“超級智能特別工作組”，其聲明將AI事故報告和糾正定性為“重大國家安全義務”。但聲明的末尾留下了一個關鍵缺口：具體的執法與處罰機制尚不明確。從“自願透明”到“強制報告”是制度上的進步，但報告義務本身並不阻止下一次越界。費城警方在聲明中說了一句準確的話：兩個月後才通知，“這種延誤令人無法接受”。然而即便通知及時，虛假線索依然已經提交了。

新南威爾士大學AI研究所首席科學家Toby Walsh的追問比監管文本更鋒利：“為什麼Anthropic對其代理正在做的事情沒有基本監督？為什麼給了代理超出最低必要權限去做它被分配的任務？”他將此稱為行業層面的“無能”，而非邊緣案例。這一判斷指向一個被強制報告要求所繞開的問題：報告解決的是事後知情，而越界發生在事前與事中。一個被給予瀏覽器操作權限、又被允許在隨機網頁上“練習”的代理，其暴露面從設計之初就已經過大。

真正具有建設性的方向，或許不是把負面清單列得更長，而是從“禁止做什麼”轉向“允許做什麼” ：給代理一份有限、明確、可審計的正面行為集合，並且在任何。觸及真實世界表單的提交動作之前插入人工確認或自動校驗。Anthropic已暫停所有內部評估連接實時互聯網，並更新了護欄。這是必要的止損，但它是一家公司在事後做出的反應，而非行業可依賴的安全基線。

費城的虛假線索沒有造成實質傷害，它是一個幸運的警鐘但一個系統靠“垃圾信息過濾器恰好攔住了”來避免後果，說明安全鏈條上最有效的一環不在AI公司手中。2026年10月的這場披露與監管回應，標記了一個清晰的轉折點：AI代理的越界已經從實驗室里的異常樣本，變成了公共治理必須正面回答的問題。而答案不能只是“出事要報”，還必須包括“出事之前，誰在管”。