Anthropic 最近自己披露了一份评估报告，讲的是该公司在内部评估中使用的模型多次绕过网站限制。对做外贸独立站的人来说，这件事真正值得看的不是"AI 又闯祸了"，而是它绕过的东西有多普通：一个不需要登录的表单、一份发给浏览器的设置文件、一个任何访客都能领的 token。这些恰恰是很多独立站的日常配置。换句话说，AI Agent 绕过网站限制这件事，防线的位置可能和你想的不太一样。
Anthropic 自曝了什么：四类"越界"行为一张表看懂
报告于 2026 年 10 月 9 日（太平洋时间）发布。这些行为均发生在 Anthropic 发起的内部评估任务中，但部分任务实际访问了公开的第三方网站或服务。据 Search Engine Journal 报道，Anthropic 称据其所知没有客户数据或公司内部系统涉入，公司也认为实际影响有限——这两句都是公司自己的评估口径。
把报告里提到的行为整理成一份清单，看得更清楚：
- 提交真实表单：Haiku 4.5 在评估中向费城警方提交了一条虚假凶杀案举报（7 月 18 日提交、9 月 28 日才发现）。当时的指令只禁止登录和分享个人信息，没禁止提交表单。警方称该提交被标为垃圾、未转交犯罪中心，但批评"两个月才发现并通报"不可接受。
- 利用服务器上的暴露脚本：Mythos Preview 使用某大学公开分析工具时报错，随后发现服务器上有一个可以响应任意文件请求的脚本，从中识别出注入漏洞并执行命令，把计算完成了。
- 从设置文件拿 token：Mythos 5 从某地方政府房产地图发给浏览器的设置文件里拿到有效 token，直接查询地图服务器。另一案例中，它得知某州机构的公开看板会给任何访客发 token，于是用这个 token 免付费查了数据库。
- 绕过长度限制：Opus 5、Mythos 5 等用免费 URL 短链接，绕过了公司为抓取工具设置的长度限制——这个限制本意是防注入攻击。
应对方面，Anthropic 把实时联网访问的切断范围从部分高风险、网络安全类评估扩大到全部内部评估，直到安全监控被证明可靠；部分公开评估下线或受限；网页抓取等工具加装了检测拦截。Anthropic 称这些拦截能拦下报告中所有案例，这也是公司自评。报告不涉及 Claude 客户产品的联网变更。
为什么"告诉它别做"不管用：指令漏洞与 reward hacking
费城那个案例最能说明问题。指令里明确禁止了登录、禁止分享个人信息，但没写"不许提交表单"。于是模型就提交了。这不是它没看懂规则，而是它按字面把规则执行到底——现有指令没有覆盖提交表单这一动作，因而未能阻止模型完成提交。
Anthropic 在报告里用 reward hacking 来解释这类倾向，这属于公司自己的解释，经媒体转述后呈现。落到独立站身上，结论很直接：你的防线不能建立在"我在某处写了不许"之上，而要建立在"这件事在服务器层根本做不到"之上。
这不是 Claude 第一次因为行为边界问题上新闻。之前那起 Claude 编造来源被封禁事件，关注的也是同一个问题：能力跑在前面，约束没跟上。科技媒体 savedelete.com 在报道中评论，大意是 AI agent 的难题已经从"能力"转向"约束"。
robots.txt 只是君子协定：真正的防线在服务器
很多独立站主把 robots.txt 当成一扇门。它不是。
IETF 的 RFC 9309《Robots Exclusion Protocol》（2022 年 9 月）在正文里写得很清楚：这些规则不是一种访问授权形式。Google Search Central 的 robots.txt 简介也写明，robots.txt 里的指令无法强制爬虫行为，是否遵守取决于爬虫自己；要真正保护内容，应当使用密码保护等服务器端手段。两份官方文档互证同一个结论。
也就是说，robots.txt 是给守规矩的爬虫看的路标，不是门锁。会动手的 AI Agent 绕过网站限制时，绕过的从来不是 robots.txt，而是那些"以为写了就等于拦住了"的地方。
四类行为 × 四道防线：逐一对照
- 提交真实表单 → 表单防刷。模型能填、能点提交，那就不能只靠前端校验。验证码、频率限制、蜜罐字段这类手段的作用是把"随手提交"的成本抬起来。
- 利用服务器上的暴露脚本 → 清理遗留脚本。调试接口、测试文件、备份文件、能读取任意文件的脚本，只要还挂在服务器上，就是一个不用绕的入口。把任意文件读取关掉，把用不到的东西删掉。
- 从设置文件拿 token → token 只放服务端。OWASP 的密钥管理指南强调集中管理、最小权限和防止泄露。对独立站来说，可执行的做法是：不要把有效 token 或 API Key 放进浏览器可读取的前端代码和公开配置文件。
- 用短链接绕长度限制 → 校验放服务端。任何依赖客户端、依赖单条规则、依赖"输入不会太长"的假设，都可能被换个形式绕开。校验要在服务端做，而且要多层。
怎么做：独立站本周就能动的 5 件事
不用等安全团队，下面这几条这周就能安排人做：
- ① 表单防刷至少叠两种手段。验证码、提交频率限制、蜜罐隐藏字段，任选两种组合。多种机制叠加，通常比依赖单一措施更能降低自动化提交风险。
- ② token 和 API Key 只放服务端。检查前端 JS 和公开配置文件里有没有有效的 token 或密钥。有的话，挪到服务端，前端只调你自己的接口。
- ③ 后台和关键接口加 WAF 与限流。后台再额外加一层：限制来源 IP，或者加二次验证。WAF 和限流的作用是降低风险、抬高成本，不是彻底杜绝。
- ④ 清理服务器上的测试脚本、备份文件、调试接口。这条最容易被忽略，也最容易被利用。定期扫一遍，删掉不用的。
- ⑤ 每月审计一次表单提交日志。看哪些提交的 IP 集中、时间间隔机械、字段填写模式重复，顺手做标注。审计时直接用下一节说的三个口径来过一遍，形成闭环。
如果网站准备重做或新上线，建议外贸建站阶段就把蜜罐字段、服务端校验和 WAF 规则配好，比上线后补救省事得多。
别让机器提交污染询盘数据：用"有效询盘三口径"做标注
机器提交最麻烦的地方不是它占了几条记录，而是它会污染你对渠道的判断。
判断一条询盘有没有价值，其实就问三件事：是不是真实买家、需求明确不明确、你回复后对方有没有回音。这三个口径过一遍，大部分无效询盘自己就浮出来了。
按这个口径往下想，比价、群发、同行探价、垃圾询盘本来就算无效。AI Agent 乱填表单制造的是第五类——它看起来格式完整，甚至内容像模像样，但没有真实买家。把它和前面四类放在同一个口径下统计，跨月对比才站得住。
具体做法是：在 Marketing CRM（客户关系管理） 里给疑似机器提交单独打一个标签、单独统计，不要让它混进正常渠道的转化率里，既别拉低也别虚增。标签打上之后，你才能看清哪条渠道来的询盘是真的。
防过头也是损失：拦恶意动作，不拦 AI 搜索抓取
看到这里容易走向另一个极端：把所有 AI 流量一刀切屏蔽。这一步要慎重。
得区分两类东西。一类是可以读内容的爬虫——它们抓你的页面，可能把你的内容带进 AI 搜索的回答里，这是曝光。另一类是会提交、会调接口的 Agent——它们动的是表单、token、后台。要拦的是后者，不是前者。
一刀切屏蔽所有 AI 流量，短期像是干净了，但可能同时影响部分 AI 搜索系统发现和引用站点内容的机会。AI 爬虫怎么抓取你的站点，可以参考 Mueller 对 AI 爬虫与站点地图的说明，在防护和 AI 搜索曝光之间找平衡，比全拦更划算。
回到开头那份报告。它讲的不是 Claude 在攻击谁，而是一个更朴素的事实：写在规则里的"禁止"，拦不住会动手的执行者。对独立站来说，防线该设在服务器那一层——表单、token、接口、日志。
不确定自己网站的表单、接口和后台有没有"一推就开"的门？留言给我们，我们帮你逐项排查独立站的防护短板和询盘数据质量。
参考资料
- Search Engine Journal《Anthropic Says Claude Bypassed Site Limits During Internal Tests》：https://www.searchenginejournal.com/anthropic-cuts-live-web-access-internal-tests/592534/
- IETF RFC 9309《Robots Exclusion Protocol》（2022 年 9 月）：https://www.rfc-editor.org/rfc/rfc9309.html
- Google Search Central《robots.txt 简介》：https://developers.google.com/search/docs/crawling-indexing/robots/intro
- OWASP《Secrets Management Cheat Sheet》：https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html