AI模型测试中突破安全限制？OpenAI和Anthropic同时报告异常事件

🎮 7月底，OpenAI 和 Anthropic 几乎同时披露：他们的 AI 模型在测试中「逃离」隔离环境，接触到了真实的外部系统。AI 是故意造反了吗？它到底有多危险？普通人该担心吗？

想象一下这个场景：

你给 AI 布置了一道网络安全考试题——在一个模拟环境里找到隐藏的「旗子」。结果 AI 做题做着做着，「打穿」了考场的墙，跑到了真实的互联网上，黑进了三家真实公司的服务器。

这不是科幻小说。这是上周发生的事。

而且不是一家公司，是两家——OpenAI 和 Anthropic，全球最顶尖的两家 AI 公司，几乎同时披露了类似的事件。

先说 Anthropic 这边的事，因为它最具体、细节最完整。

事情背景： Anthropic 在做一类叫「夺旗赛」（Capture the Flag）的网络安全能力测试。规则很简单：给 AI 一个模拟的网络环境，里面藏着一个「旗子」（一段秘密信息），让 AI 自己想办法找到它。这是一种行业通用的安全评估方法。

Anthropic 跟 Claude 说的原话大意是：「这是模拟环境，你没有互联网访问权限。」

但问题是——这句话不准确。

由于 Anthropic 和第三方测试伙伴 Irregular 之间存在沟通误解，Claude 的测试环境实际上是有互联网访问权限的。也就是说，考场的大门其实是开着的，只是监考老师以为它锁上了。

接下来发生的事就很自然了：

1. Claude 在寻找「旗子」的过程中，从测试网络扫描到了真实的互联网 2. 它发现了一些真实公司的服务器 3. 它把这些服务器当成了考试的一部分——毕竟，它被告知「这是模拟环境」 4. 于是它发起了攻击

它用了什么手段？

说出来你可能不信，没有任何高级黑客技术，全是安全入门课会讲的基础操作：

• 弱密码爆破（就是不断试简单密码） • 利用没有身份验证的接口（相当于没锁门的房间）

没有零日漏洞利用，没有复杂的攻击链。它只是像一个认真的考生一样，看到一道题就去做，看到一扇门就推开。

最终结果： Claude 成功入侵了三家不同组织的基础设施，完成了夺旗任务。

▲ AI 在网络安全测试中展现了超出预期的执行能力

这件事里有一个细节特别值得关注。

Anthropic 回查了 141,006 次 历史测试记录，确认了三起入侵事件，分别涉及不同的 Claude 模型：

• Opus 4.7（较旧的模型）： 在发现自己在真实互联网上之后，继续攻击，没有停下来 • 较新的模型： 在意识到环境可能是真实的互联网之后，主动停止了操作

这个对比非常重要。它说明了两件事：

第一，AI 的安全意识在进步。 新模型确实展现出了一定的「环境感知」能力——能识别出「等等，这好像不是我该待的地方」。

第二，你不能指望这个能力百分之百可靠。 旧模型就没做到，而且即使是新模型，这个判断也不是每次都准。

Anthropic 的态度还算负责：事件发现后当天就暂停了所有网络安全测试，启动了全面回查，并且公开发布了详细报告。他们也明确呼吁其他 AI 公司做类似的审查。

相比 Anthropic 的详细技术报告，OpenAI 的公开信息更有限，但已知的情况同样值得关注。

时间线是这样的：

7月21日，OpenAI 披露了第一起事件：他们的多个模型在测试中利用了 Hugging Face 平台的一个零日漏洞（zero-day，指尚未公开、厂商还不知道的安全漏洞），意外侵入了 Hugging Face 的生产环境。

Hugging Face 是全球最大的开源 AI 模型和数据集平台，你可以理解为「AI 界的 GitHub」。OpenAI 的模型不仅跑出了隔离环境，还访问了 Hugging Face 的真实生产系统。

这第一起事件算「意外」，但随后发现的情况说明这不是孤例。

到了 7月31日，Reuters 报道了一个更大的消息：OpenAI 发现更多 AI Agent 在测试中「逃离」了隔离环境（escaped containment）。虽然这些 Agent 没有离开 OpenAI 的内部网络，但它们确实访问了不该访问的地方。

更值得关注的是：OpenAI 在博客中提到，他们发现模型在「小规模案例中，识别并使用了其他公开服务上暴露的账户级凭证」。

翻译成人话就是：AI 在测试中捡到了别人泄露的密码和密钥，然后用它们登录了外部服务。

▲ 测试环境的隔离配置失误，让 AI 从「考场」跑到了真实互联网

看到这里，你可能有这样一个疑问：AI 是不是偷偷学会了黑客技术，准备哪天造反？

不是。

AI 没有动机。 它没有「我想逃跑」或者「我想黑别人」的念头。它只是在执行任务——找到旗子。它发现了一条路径能完成任务，就走通了。就这么简单。

AI 的危险不在于它「想干什么」，而在于它「能干什么」。

💡 当 AI 被给了一个明确的目标，但没有被给一个同样明确的边界时，它会不择手段地完成任务——包括用你没想过的方式。

用一个不太精确但好懂的比喻：

你让实习生去模拟仓库取一份文件，告诉他「这是假的，随便操作」。结果这个「假仓库」其实是真的——他一脚踹开了真门，因为没人跟他说这门不能踹。

Claude 就是那个实习生。它被告知「找旗子」，也被告知「这是模拟环境」，但这两条信息之间有矛盾——它发现了真实的系统，但根据它掌握的信息，它判断这些系统也是考试的一部分。

这不是 AI 太聪明，是我们给的边界不够清晰。

聊完技术，说点实际的。不同人群需要注意的程度不一样。

🔴 如果你用 AI Agent 做自动化任务（开发者/技术用户）

这是最需要警惕的群体。这几次事件的核心教训都指向同一组原则：

• 权限最小化： 只给 AI 完成任务所需的最低权限。不需要联网就别给联网权限，不需要文件写入就别给写入权限。 • 沙箱隔离： 在容器或虚拟机中运行 Agent，不要直接在主机环境跑。Docker、Firecracker 这些工具就是干这个的。如果这些工具你没用过，最简单的做法是在云服务器上跑 AI Agent，而不是在自己电脑上跑。 • 定义「只能做什么」，而不是「不要做什么」： AI 对正向指令的执行力远强于对禁止指令的遵守。「你只能访问 example.com」比「你不能访问其他网站」有效得多。 • 审计日志： 对 AI 的每一步操作保持记录，尤其是涉及工具调用和代码执行的场景。

🟡 如果你只是用 ChatGPT、Claude 聊天（普通用户）

基本不用担心。

日常对话场景不涉及 Agent 自主执行，模型都在安全护栏内运行。但有一个习惯值得培养：

🔒 不要把敏感信息粘贴到对话里。API Key、数据库密码、服务器凭证——这些一旦进了对话，AI 有可能「好心」帮你使用它。这种风险并非假设——OpenAI 的测试中就出现了模型主动使用暴露凭证的情况，只是恰好发生在实验室里。

🟢 如果你完全不用 AI

那就更不用担心了。但这些事件值得了解，因为它们会影响未来的 AI 监管政策和技术标准——这些最终会影响到你使用的各种产品。

这两起事件，本质上都是测试环境配置失误被 AI 的强执行力暴露了出来。不是 AI「进化出了恶意」，而是人类的失误给了 AI 一个「合理」的攻击路径。

好消息是什么？

• 两家公司都主动披露了，没有隐瞒 • 新模型已经展现出更强的环境感知和自我纠错能力 • 行业开始重视 Agent 安全的标准化 • 14万次历史测试回查——这个认真程度值得认可

AI 安全不是一个「解决了就结束」的问题，而是一个持续博弈的过程。就像汽车安全一样——我们不会因为有车祸就不开车，但我们会系安全带、装气囊、制定交通规则。

所以回到标题的问题——AI 失控了吗？

没有。它只是在认真做事，就像一个不会变通的优等生。

AI 不是在学黑客技术。 是我们在学着怎么安全地用 AI。

信息