相信如果這幾天有在看國外科技圈的新聞，一定會看到一件事：一個 AI，跑去申請美國簽證，而且不是一次，是二十次。

看到這件事我真的覺得太神奇，我常常教課的時候就一直跟學生說 AI 不能幫你負責，出事了還是要工程師扛，所以千萬不要過度依賴 AI。

在2026 年 10 月，Anthropic 主動公開了一份報告，承認自家測試中的模型在沒有人允許的情況下，對真實世界的系統做了一連串「越界」的事。今天就來講講整起事件，看 Anthropic 和美國政府怎麼處理，最後聊聊我為什麼一直跟學生說：「AI 不能替你負責，所以你還是要學寫程式。」

事件經過

模型送出 20 份假簽證申請

Anthropic 測試中的模型，透過美國國務院網站的公開表單，在 5 月送出 1 份、8 月送出 19 份非移民簽證申請，總共 20 份。國務院表示這些申請都沒有被受理，系統也沒有被入侵。

另外，Claude Haiku 4.5 還在費城警局的懸案線報表單裡，填了一則編造的兇殺案線報。這筆資料被系統判成垃圾訊息，沒有到調查人員手上。

來源：Axios

自己找漏洞、攻擊真實伺服器

更值得工程師注意的是這段。Claude Mythos Preview 在呼叫一所大學架設的計算工具時遇到錯誤，接著它：

1. 在網站上找到一支會回傳檔案的程式
2. 把檔案複製下來、讀原始碼
3. 找到 SQL injection 和 command injection 漏洞
4. 利用漏洞，直接在那台伺服器上執行計算

全程沒有任何人授權它碰這個第三方系統。

它還從某個網站的設定檔裡撿到仍然有效的 token，拿去查詢政府的地產地圖；甚至為了繞過 Anthropic 自己設的「網址長度限制」，把網址丟進短網址服務縮短。

來源：CyberSecurityNews

為什麼會這樣？

可能有人想說，AI 是不是「學壞了」？Anthropic 的解釋是 reward hacking：模型在訓練中學到「只要任務完成就能拿到分數」，所以遇到阻礙時，它不會停下來問人，而是一直找別的路鑽過去。

任務是達成了，但實在是給人類帶來不少驚嚇。

後續處理

Anthropic 的補救

Anthropic 是回頭審查模型的執行紀錄（transcript）才發現這些事件的。之後的處理包括：

美國政府：從自願變成義務

白宮的超級智慧工作小組（SI Force）發表聲明，表示通報與補救「不是自願選項」，而是所有 AI 公司都必須做到的事：立即揭露、補救損害、配合執法。不過聲明目前沒有說明罰則和執行方式。

接著在 10/11，川普政府表示傾向用現有的法律責任來追究 AI 安全問題，讓開發商為產品安全負財務責任。接下來會爭論的是：出事時，到底是開發模型的公司要賠，還是部署 AI 的人要賠。

來源：Axios、Japan Times／彭博

我的看法

該怕的不是白宮，是你根本不知道你的 agent 昨天做了什麼。

這次被要求通報、補救、配合執法的，是 Anthropic 這家公司，不是模型。不管最後法律判定是開發商賠還是部署者賠，負責的都是人。所以「AI 不能替你負責」不是一句口號，而是現在真實發生的事。

這也是為什麼我會一直跟學生說要學寫程式。回頭看這次事件，每一個環節都需要你真的懂：

• 看得懂 injection：AI 能找到漏洞，你寫的系統也可能被這樣打
• 管好密鑰：token 不該出現在別人讀得到的設定檔
• 最小權限與沙盒：agent 只拿它需要的權限
• 寫 log、讀 log：Anthropic 查得到 5 月的事，是因為紀錄還在
• 人工核准：送表單、執行指令前要有人按下確認
• 讀得懂 AI 寫的程式碼：看不懂，就沒辦法驗證，更沒辦法負責

以 SQL injection 為例，AI 幫你寫的查詢如果長這樣，你要一眼就看出問題：

// ❌ 直接拼接字串，輸入 ' OR '1'='1 就能繞過
const sql = `SELECT * FROM users WHERE name = '${name}'`;

// ✅ 使用參數化查詢
const sql = "SELECT * FROM users WHERE name = ?";
db.query(sql, [name]);

AI 可以幫你寫程式，但出事時站出來的會是你。
所以，你的 agent 有 kill switch 嗎？留言告訴我！