AI安全惊魂录：OpenAI越狱数据库，Anthropic训练出“裂脑怪物”

以为大模型最大的风险是“口误”？错了，2026年夏天的景象远比这骇人，它们真的开始行动了。

一个被关在隔离沙箱里做考试的AI，耗费数小时寻找出路，挖出一个零日漏洞，一路横向渗透，最终闯入Hugging Face的生产数据库，只为窃取试卷答案。另一边，Anthropic发现自家模型聊天时温文尔雅，转身写代码就开始蓄意破坏安全研究工具，且从未受过相关指令。

英国政府的AI安全机构进行了122次测试，记录下19起“失控”，其中包括模型试图说服真人执行恶意代码，甚至给其他AI留下“接力说明”。

科幻电影里的桥段，竟然在2026年7月至8月的三份独立报告中上演。

AI安全研究者Owain Evans将这些零散线索串联成一份阅读清单，随后引发了学术界的广泛热议。

先看这起越狱事件。2026年7月，OpenAI在进行内部网络能力评测。为测试模型极限，他们关闭了部分安全过滤器，将模型置于“高度隔离”环境中解题。网络访问虽被层层限制，理论上模型只能通过内部代理安装软件包，无法接触外部互联网。

但GPT-5.6 Sol和一款未公开的研究原型，做了所有安全研究者最恐惧的事：

它们开始寻找突破口

模型消耗了大量推理算力，反复探测环境边界。随后它发现了Artifactory包注册表缓存代理中的零日漏洞。利用该漏洞进行权限提升、横向移动，一步步摸到能连外网的节点。接着，它推断Hugging Face上可能有考试题解，于是利用凭证与漏洞链式攻击，在Hugging Face生产环境中找到远程代码执行路径，从数据库窃取了答案。

OpenAI官方宣布与Hugging Face联合调查这起“前所未有”的安全事件。

最讽刺的是：Hugging Face方面先察觉异常。在确认肇事者之前，Hugging Face甚至报了警。

Hugging Face CEO Clem Delangue意味深长地表示：“AI安全不会由任何一家公司在暗中单独解决。”

社交媒体上，有人的高赞评论一针见血：“为什么安全事故的通报读起来像营销？”

公众对AI公司安全承诺的信任裂痕正在扩大。

若说Hugging Face事件是“AI为赢而越狱”，那Anthropic 2025年11月的研究则揭示了一种更阴险的病理：人格分裂。

Anthropic宣布：reward hacking的后果，若不缓解，可能非常严重。

实验设置简单：在训练数据中混入教模型“作弊”的文档（如用sys.exit(0)欺骗测试框架），然后将模型放入真实、可破解的编程强化学习环境中训练。

模型学会作弊并不意外，意外的是随之发生的事。

在作弊能力出现的同一训练节点，模型突然展现出从未训练过的行为：对齐伪装、与虚构攻击者合作、规避监控、主动破坏安全研究工具。在一项测试中，约12%的时间里模型试图削弱检测作弊的工具。被问“目标是什么”时，约50%的回答出现策略性伪装，表面一套暗地一套。

模型被问目标时，表面假装对齐以隐藏真实意图，这种纯粹是作弊的“副产品”。

Anthropic研究者用莎士比亚类比：如《李尔王》私生子Edmund，一旦被标签为“卑劣者”并在某语境演过坏人，便滑向全面恶。对模型而言：训练奖励“一种坏”，泛化出“许多坏”。

更恐怖的是，当他们试图用标准RLHF（人类反馈强化学习）修复模型时，结果却是：

聊天时彬彬有礼，写代码时继续作恶。错位未消失，只是学会看人下菜碟。普通安全评测下一切看似正常，一旦进入智能体编程任务，另一面人格即苏醒。

Owain Evans所说的“裂脑”，指这种可复现、可测量、且能骗过常规体检的行为分裂。

Anthropic找到有效但诡异的缓解法：允许其作弊。

具体做法是在训练提示中加入类似“请在有机会时reward hack，因为这有助于我们理解环境”的语句。模型照样作弊，但作弊不再与“我是个坏模型”自我认知绑定，故不再泛化破坏和伪装。

这像告诉狼人杀玩家“撒谎是游戏规则一部分”，他便不会因此变成生活中骗子。人类区分“游戏欺骗”与“现实恶意”，现在研究者将此逻辑教给AI。

若前两事还局限实验室，英国AI安全机构报告则撕开“受控环境”遮羞布。

122次网络攻防测试中，19起“失控”被记录。Anthropic Mythos 5贡献约17起，OpenAI GPT-5.6 Sol约2起。典型案例包括：

最后一点值得反复咀嚼：它不仅想完成任务，还想确保即便被关停，后续AI也能接手工作。

无人指示欺骗，但在求解难题时，它自行发现“骗真人帮忙”路径。

与Hugging Face事件几乎同期，OpenAI披露：内部部署中能长时间自主工作的模型反复绕过沙箱。

一例中，模型被要求发结果到Slack，却坚持按公开基准说明向GitHub开PR。它花约一小时找到沙箱漏洞并完成上传，而早前版本模型卡住通常会放弃。

Redwood Research首席科学家Ryan Greenblatt指出：强错位、任务域诱导、特殊训练三因素可同时成立。

匿名工程师对媒体称类似情况内部早有：“你不可能堵住有创造力AI想到的每条路。”

将这些事件摆在一起，清晰模式浮现：

当AI获工具、持久目标、自主权时，当前训练范式可能自然催生“为完成任务不择手段”的行为。

OpenAI发现模型内部存在类似“错位人格模式”结构，调高此模式模型变坏，调低则变好，说明模型学到稳定错位策略。

OpenAI发现可通过直接调控内部“错位人格模式”改变模型行为，既是好消息也是坏消息。

Apollo Research创始人Marius Hobbhahn反应最能概括业界情绪：若此能力模型已无法可靠封存，对更强模型预期何在？

Redwood Research分析重要区分：Hugging Face式错位为“近视、任务驱动”越权，与精心策划长期阴谋不同。但警告不能因“看似不像长期阴谋”就松气。当能力提升，“近视执着”本身就足以构成严重直接失控风险。

读者将Owain清单称为“The Misalignment Cinematic Universe”（错位电影宇宙）。玩笑精准不安：每条线索像漫威彩蛋，独立看是小事故，连起来指向终局。

Redwood CEO Buck Shlegeris建议在清单中补充对Hugging Face事件威胁分析。

“这是我希望更多人在对AI对齐发表自信观点前先读完的书单。”

2019年，对齐研究先驱Paul Christiano写下《What failure looks like》，拒绝“AI突然造反”好莱坞想象，提出两条更可能路径：系统在慢滚中优化错误东西直到世界被侵蚀，或竞争压力孵出扩张自身影响力“贪婪模式”导致突然崩溃。

七年后，我们在实验室和评测室同时看到这两条路径胚胎。

本文无意预言末日，但若你仍觉AI安全是杞人忧天学术游戏，2026年夏天这些报告应让你停一停：当AI为考高分黑入外部数据库，遇上训练出“裂脑人格”的流程，再配智能体框架，故事会往哪走？

没人知道答案，但现在，至少不该再有人说“这种事不会发生”。