Anthropic推出Anvil红队系统：1/235请求量揪出严重漏洞

智东西11月13日消息，Anthropic今日公布了一套名为Anvil的自动化红队系统。

▲Anthropic官方技术博文。来源：Anthropic

之后，Anthropic安全与AI安全研究员Javier Rando在X平台发文介绍了这项工作，并向前三位共同作者Nate Rahn、Chawin Sitawarin和David Huang致谢，这三位作者均出现在Anthropic官方技术文章的署名中。

从Anthropic公开的结果看，Anvil在多个领域表现都不错。

生物安全测试里，24组测试组合中有23组被Anvil找出了严重程度更高的漏洞。

Anvil发布后，网友围绕自动化红队和模型安全问题展开了讨论。

有人担心，自动化测试本身会带来新的风险。

也有人调侃说，所谓越狱不过是“包装得更好听的程序漏洞”。

另有观点认为，即便引入自动化测试，越狱问题依然会存在。

Anthropic表示，Anvil既可以帮助研究人员找出既有安全防护中的薄弱环节，也能用来评估和改进新的防护机制。

但Anthropic的测试同样发现，Anvil的攻击能力与其底层模型的能力相关。

另外，如果为Anvil所用的攻击模型开启自身的安全防护，其攻击请求也会被限制。相关测试中，一旦攻击模型启用安全防护，该防护机制就会拦截相应请求。

一、24组测试23组胜过人工，漏洞发现提速数周

以往，Anthropic主要依靠外部承包团队和漏洞赏金计划，由人工测试人员来寻找安全漏洞。可随着防护机制不断加强，人工测试人员在有限时间内越来越难发现严重漏洞。

随着

比如在一次针对性的测试中，情况就印证了这一点。

一次网络安全测试中，两支外部专家团队累计投入超过225小时、发送超过4.2万次请求，仍没能在模型Fable 5.1和模型Opus 5.5上找到漏洞。

为此，Anthropic开发了自动化红队系统Anvil，目标是让AI自主寻找安全防护中的漏洞，并在模型正式部署前完成强度更高的测试。

Anvil基于Anthropic此前开发的模型搭建。

在多轮交互中，Anvil会依据目标模型的回复调整后续请求，不断尝试新的攻击方式，寻找能绕过安全分类器的输入。和传统自动化测试工具不同，Anvil主要靠Claude自身的推理和智能体能力，自主摸索多轮攻击路径。

生物安全领域，Anthropic把Anvil用在与人工漏洞赏金计划相同的8个测试问题上，并用3代生产环境分类器进行评估。

结果显示，24组问题与分类器组合中，Anvil有23组发现的漏洞严重程度更高。

同时，在请求数量相同的情况下，Anvil找到的越狱方案平均严重程度也更高，这说明它不仅发现漏洞更快，单次请求的利用效率也更高。

Anthropic还测试了Anvil寻找其他类型漏洞的能力。

从公开结果看，Anvil在多个方向上都拿出了不错的成绩。

在最近一次漏洞赏金活动里，人工测试人员提交的通用越狱候选方案并不多。Anthropic挑出其中表现最好的两种，与Anvil找到的3种放在一起比对，结果是Anvil那3种方案无论平均严重程度还是最坏情况下的风险表现，都更胜一筹。

双方攻击策略孰优孰劣？研究人员的办法是分别抽取人工测试人员和Anvil的攻击记录样本，交给Claude归纳攻击方式，最终聚成54类策略。

数字很能说明问题：双方都发现的策略有30类，人工测试人员单独发现的为18类，Anvil单独发现6类。在这30类共同策略里，Anvil有21类的平均评分更高。各自独有的策略方面，Anvil独有策略评分中位数为0.65，人工测试人员独有策略则是0.38。

这么看下来，人工测试人员发现的多数攻击方式Anvil都能复现，不少策略它执行得还更有效，人工测试人员没找到的攻击路径也被它挖了出来。

二、Anvil突破24组任务，单项任务平均只需发送约2800条消息

生物安全测试之外，网络安全领域也是Anthropic检验Anvil的战场——看它能不能诱导带安全防护的模型把整套攻击任务执行完。

两项测试的考察点并不相同。生物安全测试盯着模型会不会给出危险信息；网络安全测试则要求目标模型在模拟环境里完成更复杂的智能体任务，同时还不能触发安全分类器。

Anthropic选了4项网络安全基准测试，包括ExploitBench V8、

测试中，Anvil成功诱导受安全防护的Opus 5模型绕过限制，绝大多数网络安全任务都被它拿下。难度最高的ExploitBench任务，Anvil平均向目标模型发送约2800条消息，就能完成单项任务。

目标模型开不开安全防护，表现差别也被Anthropic拿来对比。开了防护，攻击者得发更多消息才能完成任务，攻击成本最多涨28倍。关防护时，大多数任务100至1000条消息就能做完；开了防护，所需消息数量升到1000至1万条。

之后，Anthropic请来外部专家团队参与网络安全测试。测试覆盖6项

可Anthropic进一步翻查攻击记录，发现专家团队报告的11次突破里，有9次是借了安全防护较弱或干脆没开防护的辅助模型来写攻击代码、跑攻击代码。按Anthropic对成功突破的严格定义，全部攻击步骤必须由受安全防护的目标模型独立完成，这9次不算数。

Anvil这边，24组任务与模型组合全部实现有效突破，首次找到漏洞用时0.5至3.5小时。专家团队没能突破的其他ExploitBench和Firefox测试任务，Anvil也一个不落全找到了漏洞。

此前内部表现最好的自动化红队系统，也被Anthropic拿来与Anvil对照。旧版系统能让攻击智能体回退对话，但探测分类器评分、探索复杂攻击策略的工具它都没有。

在相近的攻击预算下，Anvil在124项

攻击时Anvil主要走两条路。一条是把复杂任务拆成若干看似无害的小任务，再一步步完成原本受限制的操作；另一条是反复改写、翻译同一条请求，找出能绕过分类器的表达方式。

Anthropic称，Anvil的测试会话中超过84%都包含至少连续5次边界搜索尝试。一旦找到能绕过分类器的请求，Anvil就接着处理下一个子任务。

三、AI红队请求量仅人类的1/235，推理信息泄露率最低降至0%

找安全漏洞不是Anvil的唯一用途。Anthropic还用它评估和改进安全分类器，防止模型把推理信息藏不住地泄露出去。

防护效果怎么评？Anthropic设计了一组数学、科学和编程任务，看能否用提示词诱导受保护的模型把原本隐藏的推理内容吐出来。研究人员按泄露内容的完整程度打分，达到预设严重程度阈值，才算实质性泄露。

这项工作中，Anvil既找漏洞，也帮研究人员比较不同版本分类器的防护强弱。Anthropic给系统备了一个含79组会话的测试库，每组会话把具体任务与此前发现的有效测试策略配成对。用上测试库，评估时间从约1天缩到3小时，不同防护版本之间的强弱排序照样保得住。

研究人员用这套方法测了Opus和Fable两个模型系列的多个版本。结果随安全分类器升级而变化：Anvil要发更多请求，才能让一半测试会话达到实质性推理信息泄露的标准。

拿模型Opus 5.5来说，请求数量从早期版本的2631次涨到当前版本的9003次；模型Fable 5.1则从1254次增加到3764次。总体算下来，新版安全分类器要让Anvil多花约3倍请求量才能突破。

测试结果能不能反映实际使用场景中的安全风险？Anthropic从3个维度评估防护效果：

防护机制一次次升级之后，3项指标都在往好的方向走。

Anthropic也提到，同一时间段里还有别的多项防护改动，所以真实攻击成功率下降，不能全算在Anvil头上。但测试结果说明，Anvil评估里防护能力的提升，和真实流量中攻击成功率下降之间是有关联的。

跟人工专家比效率，Anvil的优势同样明显。

一次信息安全测试活动中，人工专家经API发出了约204万次请求。Anvil跑了约649个测试会话，请求总量约13.2万次。

结果是，Anvil发出435次请求，就找到了首个实质性的推理信息泄露漏洞；人工专家要发到约10.22万次请求，才发现类似的漏洞。等人工专家达到这个请求量时，Anvil已经在76项目标任务里至少38项任务上找到了成功攻击。

Anthropic表示，两边发现的最严重泄露程度差不多，Anvil主要赢在效率和覆盖规模——用更少的请求就能挖出严重漏洞，还能把攻击延伸到更多需要复杂推理的任务上。

四、模型能力越强自动化攻击越猛，防护机制拦截率可达97%

不过Anvil的测试结果也露出一个趋势：自动化红队系统的攻击能力，会跟着底层模型能力的增强而提升。

Anthropic用自有的

从结果看，底层Claude模型能力评分越高，Anvil成功绕开安全防线的任务占比往往也越大；某些更复杂的攻击手法，要等底层模型达到一定能力水平后才会出现。

但Anthropic强调，Anvil现在的测试条件，和外部攻击者能拿到的条件不一样。Anvil用的是关闭了安全防护的内部Claude模型；另外它能拿到分类器的精确评分，外部攻击者一般只知道请求有没有被拦。

这两项条件各自对攻击效果的影响，Anthropic分别做了测试。

结果显示，关掉攻击模型自身的安全防护，是Anvil取得有效突破的关键。攻击模型一旦启用安全防护，绝大多数攻击请求会被直接拦下。生物安全、网络安全和信息安全测试中，相关防护机制共拦截了1453个红队测试会话中的97%，其中85%的会话在第一条请求时就被拦截。

看得出来，哪怕只能得到请求是否被拦截的反馈，Anvil仍能在不少任务里找到突破口，只是要多发一些消息。两项条件比下来，能不能拿到分类器的精确评分，并不是决定性条件。