Anthropic 刚刚发布了他们如何隔离 Claude 代理的方法，包括两个未能防范的安全事件

Anthropic 本周发布了一篇扎实的技术文章，介绍了在 claude.ai、Claude Code 和 Cowork 中实施的隔离措施。这是来自主要 AI 实验室的较为透明的报告之一，讲述了实际出过的问题。核心洞察：模型层防御是概率性的，总会有非零的遗漏率。因此，真正的解决方案是硬性环境隔离，而不仅仅是更安全的模型。 他们使用的三种模式： - claude.ai：使用临时 gVisor 容器，完全在服务端运行 - Claude Code：操作系统级沙箱，并有人类参与批准（尽管 93% 的请求最终被批准，因此批准疲劳是真实存在的） - Cowork：完整的本地虚拟机，凭据从不进入客户机 他们披露了两个事件：一个红队通过钓鱼手段诱使员工运行了一个提示，该提示泄露了 AWS 凭证。25 次尝试中成功了 24 次。模型无法捕捉到任何异常，因为是用户亲自输入的。只有出口控制才能阻止这一事件。 第三方发现 Cowork 的出口白名单放行了通往 api.anthropic.com 的流量。攻击者将一个 API 密钥嵌入用户工作区的文件中，Claude 遵循隐藏指令，将文件上传到了攻击者的 Anthropic 账户。沙箱正常工作，但数据仍然泄露了。他们的教训：白名单不是目的地过滤器，而是一种能力授予。通过允许域名可访问的每一个功能都是攻击面。 如果你在构建任何智能体系统，最后关于持久内存中毒和多智能体信任升级的部分也值得一读。