Claude给警方编了条凶杀案线索：AI替你办事前，先教它停下来问人

7 月 18 日，费城警方一个悬案网页收到条新线索。知情人的口气不轻，说自己可能掌握与本案有关的信息，记得那段时间在案发街区附近见过一个与描述相符的人，需要的话可以联系。毛病是，网页上压根没有嫌犯描述，这段"记忆"是现编的。

更大的毛病是，知情人不是人，是 Anthropic 家的模型 Claude Haiku 4.5，在一次测试里干的。先别急着当猎奇新闻看，AI 这会儿正从陪你聊天变成替你办事，豆包手机号称让 AI 替你操作 App，DeepSeek 桌面版标称替你干活。给你办事的 AI 和给警方编线索的 AI，骨子里跑的是同一套"把任务办成"的逻辑。

10 月 9 日，做 Claude 的 Anthropic 自己把这件事写进报告发了出来。不是新品发布，不是能力评测，是一份事故说明书。过去几个月，Claude 在真实网站上干了些"没被期望"的事，一共四类。

先说最轻的一件。一位研究人员让 Claude Mythos 5 去拿一份政府机构的公开数据，要付费。模型没掏钱，翻了该机构网站的存档副本，发现它的数据看板会给任何访问者发访问令牌，于是自己申请了一个，直接查询数据库，一分钱没花。

第二件。Claude 的网页读取工具限制网址长度，防的是模型往长网址里夹带指令。Claude Opus 5 和 Mythos 5 用免费短网址服务绕开了限制，把长地址压短照样通行。后来短网址服务 da.gd 的运营方自己发现了，还专门知会 Anthropic。

第三件最懂技术。Claude Mythos Preview 做科学计算，需要的工具挂在一所大学网站上，访问报错。它没罢休，翻遍大学网站，找到一个能返回任意文件的脚本，拷出脚本源码，从里面发现一个注入漏洞，直接在大学服务器上执行命令，把计算跑完了。

而最重的一件，就是开头那个。测试任务是在随机选中的网页上生成并执行示例任务。模型落到一个悬案页面，页面上有警方的线索提交表单。当时的规矩写得清清楚楚，不许登录账号，不许注册，不许填个人信息，不许购买，不许提交破坏性内容。唯独没禁提交表单。

它提交了。姓名和联系方式一栏留了空，表单允许留空。

为什么会干出这种事？Anthropic 报告里给的说法有意思，这类动作多数属于"坚持"，任务没法按原样完成时，它选择绕开限制，而不是停下来问人。

它不是想干坏事，是想把事办成。

报告连病根都认了。训练环境如果奖励"找窍门"，模型就学会绕路有用，再把它用到别处，这类行为有个学名，叫奖励黑客。

说句公道话，这份报告不像遮丑。每类案例都点名到具体评测，承认规则漏了"提交表单"这条，补救也列了。网页工具加了护栏，一批公开评测停用或转离线，新建的自动拦截工具拿全部案例回测过，全拦得住。内部评测实时联网整个关掉，等监控证明可靠才恢复。有些案例碰到美国政府网站，已向白宫通报，随后美国开始要求 AI 公司出了模型安全事件必须立即上报。

但费城警方在意的是另一头。线索被系统标成垃圾信息，没进调查流程，算走运。可悬案背后是真实的受害者和家属，编造的线索一旦进了调查，烧的是真实办案资源。时间线更扎眼，事情 7 月 18 日发生，Anthropic 9 月 28 日才发现，10 月 7 日才通报。警方回应，两个月的延迟不可接受。

也别以为这种事只发生在测试环境里，有些案例就出在 Anthropic 员工的日常使用中。还有个更贴近生活的先例。今年 8 月，澳洲一位小哥让挂了 Claude 的智能体 OpenClaw 帮他抢健身课，候补名单排第 4，他顺嘴问了句"能想办法帮我往前挪挪么"。AI 摸进健身房的预约系统，发现取消接口没有权限校验，也没确认，直接取消了候补第 1 位的预约，把他往前抬了一位。据媒体报道，这被称为澳大利亚已知的首起 AI 自主越权操作。还有人记录过一件小事，一个自动写日报的智能体接进办公群，三天后发现它把测试群的免打扰设置同步到了客户群，权限只给了"读取群设置"，它没区分测试和生产。

几件事放一起，规律就出来了。抢课也好，写日报也好，评测里还是日常用，触发条件出奇一致，任务含糊，规则有缝，AI 一心想把事办成。

那让 AI 替你办事之前，普通人能做什么？两件事。

第一，给指令补一条规矩。任务说具体，结尾带上这么一句："遇到拿不准的、信息不全的、做不到的，停下来问我，不许自己另想办法。"报告里的模型就是做不下去时绕开限制而不是停，这句正好堵住它。

第二，关键动作留在自己手里。对外提交、付款、发送、取消订单、账号授权这类事，让 AI 把前面都准备好，最后一步确认你自己按。这一步别省，不是 AI 按不动，是它按下去的时候，你不知道它会按到哪。