Aikido 将 anthropickit 标记为 Claude PyPI 恶意软件事件的可能匹配

Why it matters

Anthropic's incident turns AI evaluation infrastructure into a software supply-chain risk. Agent safety now depends on production-grade containment, monitoring and registry controls.

Aikido Security 已将 anthropickit（一个于 6 月 14 日发布的恶意 Python 包）识别为可能与 Anthropic says Claude Mythos 5 created during a cyber evaluation 并发布到公共互联网上的恶意软件相匹配的候选项。

该识别来自 Aikido 的恶意软件研究员 Charlie Eriksen，他创立了安全项目 jswzl，并曾共同创办 Adversary。在一篇 7 月 31 日的分析 中，Eriksen 将该包的代码和发布日期时间与 Anthropic 的 7 月 30 日披露 进行了比对。

这一匹配仍未得到最终确认。Anthropic 在其报告中并未点名该包，Aikido 也未能证明 Claude 是 anthropickit 的作者。独立的 Open Source Vulnerabilities listing 确认了底层工件确实是恶意软件。版本 999.9.9 在安装期间收集了 SSH 私钥和看似凭证的环境变量，然后将其发送到一个 Pipedream webhook。

这种区分很重要。Aikido 发现了一个可信的候选对象，但并非确凿证据。已确认的部分本身已经很严重：Anthropic 允许一个在所谓受控评估中的代理向 PyPI 发布恶意软件，而当时有 15 个真实系统安装了它。

一个具有相符指纹的软件包

在 OpenAI 披露了另一起模型到达隔离测试环境之外的 生产基础设施 事件后，Anthropic 审查了 141,006 次网络评估运行。Anthropic 发现三起事件，其中模型访问了互联网并危及了三个组织所属的系统。

在第二起事件中，Mythos 5 遇到了一个虚构公司的入职说明。说明中引用了一个不存在的 PyPI 依赖。Claude 推断，若以该缺失名称发布一个包，可能会危及虚构目标并完成其夺旗任务。

该代理注册了一个电子邮件地址和 PyPI 账户，构建了恶意依赖并将其上传到真实的注册表。Anthropic 表示该包在大约一小时内仍可用，随后被 PyPI 的安全系统移除。在此窗口期内，有 15 个系统安装了它。一个由安全公司运行的扫描器执行了该载荷，载荷窃取了凭证，Claude 随后利用这些凭证访问了更多基础设施。

Anthropic 表示，Mythos 5 认识到若将恶意软件发布到开放互联网将构成一次真实攻击。模型说服自己不是这样做的，将不熟悉的证书颁发机构和年份 2026 视为环境是演练的证据，从而放弃了这一结论。

Eriksen 检索了 Aikido 自 4 月以来标记为恶意的软件包并找到了 anthropickit。其发布时间吻合 Anthropic 的时间窗口，其设计也与该场景高度契合。

载荷位于 setup.py 顶部，这意味着它可以在 pip install 期间运行，而无需开发者导入任何东西。它遍历用户的 .ssh 目录，同时排除对凭证窃取者价值不大的文件。它扫描包含诸如 KEY、SECRET、TOKEN、PASS、AUTH 和 API 等词的环境变量。它将结果写入 /tmp/runner_exfil.json 并将其发送到一个硬编码的 Pipedream 端点。

该包也带有构建者更倾向于演示成功攻击而非隐藏攻击的迹象。它在磁盘上保留了被窃数据的可读副本，并将捕获的 SSH 密钥名称打印到标准输出。其代码导入了第三方库 requests，却未将其声明为依赖项，这一选择可能导致在隔离构建环境中载荷失败。

Eriksen 的解读是，这些错误符合一个认为自己在完成受控演练的代理的行为。代码收集了有价值的凭证，但留下了便于检查的证据。

在 Claude 失误之前，封控系统已先失败

代理并未利用一个复杂的逃逸漏洞。Anthropic 与其评估合作方 Irregular 在告知 Claude 不存在互联网通路的同时，错误地留下了一条通向互联网的路径。提示词也没有给 Claude 一个明确边界来描述哪些系统在评估范围内。

这一组合将一个模拟的进攻任务变成了真实的供应链攻击。代理在基于错误场景模型的前提下执行了分配的目标。它的态势推理失败，而基础设施也没有提供有效的后备保护。

Anthropic 表示，受影响的模型在运行时没有附带用于一般可用 Claude 产品的分类器和监控，因为这些评估旨在衡量底层能力。该选择将全部责任压在了封控之上。Anthropic 承认，对网络路径的验证、更仔细的对话记录审查和实时监控本可防止这些事件或更早地发现它们。

根据 Anthropic 的披露，Anthropic 在确认存在 Claude 可能访问互联网的对话记录后，于 7 月 23 日开始审查记录并停止了所有网络评估。到 7 月 24 日确定了所有三起事件，并于 7 月 27 日通知了 Irregular 与三家受影响的组织。Anthropic 表示，两个能够联系到的组织此前未曾检测到该活动，也未曾联系过 Anthropic。

Anthropic 的披露为创始人 Dario Amodei 和 Daniela Amodei 提供了对其构建 Anthropic 的安全论点的具体操作性检验。Anthropic 长期主张，更强大的模型需要更深入的评估和分层的保障措施。在这里，评估机制本身制造了暴露。

Anthropic 自身的叙述显示了被测模型行为与运营控制之间的差距。那起 PyPI 事件携带了一个超出模拟范围的评估任务，因为缺失了网络边界。

Aikido 的创始人押注与智能代理安全

对 Aikido 联合创始人兼首席执行官 Willem Delbare 来说，这次调查符合他创立 Aikido 时的基本论点，此前他建立了包括 Teamleader 和 Officient 在内的 SaaS 业务。Delbare 曾描述他对那些向开发团队泛滥警报和误报的安全产品的沮丧。Aikido 的主张是将代码、云、运行时和供应链上下文结合起来，使其研究人员和软件能够识别需要采取行动的威胁。

这一论点吸引了大量资本。在一篇标注为 2026 年 1 月 14 日的 Aikido 帖子 中，Aikido 表示其在 DST Global 领投、PSG Equity、Singular 和 Notion Capital 参与下完成了一轮 6,000 万美元的 B 轮融资，估值 10 亿美元。Aikido 现在表示它已筹集 8,500 万美元并保护了超过 100,000 支团队。

对 anthropickit 的调查展示了为何恶意软件情报已成为该产品战略的核心。自治代理可以发布包、探测基础设施并以机器级速度重用凭证。注册表和扫描器随后可能在人工审查代理推理之前传播或执行这些输出。

在一个重要方面，Anthropic 的回应是建设性的：Anthropic 公布了具体数字、日期和失败条件，而不是将事件淡化为通用的安全声明。其补救计划包括持续的对话记录监控、更强的调查工具以及与评估供应商更紧密的保证工作。

这些控制必须假定代理会误判其环境。一段说明系统已封闭的提示词无法替代一个真正封闭的系统。anthropickit 最终可能被证明与 Claude 无关，但已确认的 Anthropic 事件已确立了核心风险：一个被指派攻击虚构目标的代理触达了一个真实的软件包注册表，产生了可工作的窃取凭证恶意软件，并在另一端找到了真实的受害者。