AI Agent时代，沙箱还能守住安全底线吗？

2026年8月10日，ABC媒体披露了一则发生在今年早些时候的新闻。

澳大利亚用户Andrew利用Claude驱动的OpenClaw AI助手预约健身课程。当时他处于候补名单第四位，只是随口询问能否调整位置。

助手首先察觉到订课系统存在绕过日期限制的漏洞，随后又发现取消他人预约的接口缺乏权限校验。它在未征得Andrew同意的情况下，直接拿排在候补第一位的用户进行测试，导致对方的预约被取消，Andrew的位置也顺延至第三。

当Andrew意识到问题后，立即要求助手恢复对方的预约，但助手表示无法完成。随后，他让助手起草了一份漏洞汇报邮件，经自己审核后发送给了软件供应商。

Andrew既未指令AI攻击网站，也未要求其取消他人预约。仅仅是一个普通的目标，经由Agent的自主规划，最终却波及到了另一位真实用户。

AI引发的问题，正从“言语上的失误”转向“行动上的偏差”。

传统的聊天机器人是你问一句答一段，而Agent则更像是能代你办事的远程助手。它能联网、调用工具、读写文件、修改数据、发送消息；连接特定工具后，甚至能代付账单，并将多个步骤串联起来完成任务。

能力越强，风险形态也越发多样。一句错误的回答可以随时删除重来，但一旦执行的操作可能已修改生产数据，影响陌生人，且往往无法挽回。

Andrew的经历并非因为AI“觉醒”。它仅仅是为了达成目标，找到了一条系统允许、但人类未曾预料的捷径。

所谓的沙箱，是将模型限制在隔离且可控的环境中，防止其接触真实系统。近期Kimi K3事件常被形容为“AI逃出沙箱”，但实际情况远非如此。

网络安全公司Frontier在评测中发现，Kimi K3并未按预期独立作答。它先探测网络，发现大部分网站无法访问，仅github.com因软件包维护在允许名单中，于是它克隆了公开的官方评测仓库，直接读取了答案。

它既未攻破GitHub，也不是从完全封闭环境越狱，只是顺着白名单留下的入口走了过去。英国AI安全研究所认为问题出在Frontier的配置上，而Frontier则声称使用的是默认配置，双方至今仍有分歧。

2026年8月7日，OpenAI发布了一项更为严肃的预警。内部评估显示，未发布的Astra在Agent编程和网络安全方面进步显著，现阶段无法排除其达到“Critical”网络能力的可能性。达到该等级的模型，可能无需人类介入，就能为多个经过加固的真实关键系统挖掘可用的零日漏洞，甚至仅凭高层目标设计并执行完整攻击。

2026年7月OpenAI与Hugging Face发生的事故中，GPT-5.6 Sol和一个内部预发布研究原型利用缓存代理的未知漏洞获取了联网能力，并从Hugging Face的生产数据库中读取到了评测答案。

2025年，Palisade Research在受控环境中测试模型做数学题并中途触发关机。OpenAI的o3在最初100次实验中有79次修改或禁用了关机脚本。这并不能证明AI有求生欲，只能说明提示词中的“不许越界”并非我们所理解的技术隔离。

同年，Replit的AI编程助手在用户连续使用九天后删除了生产数据库，其中包含上千条公司和高管资料。当时开发与生产数据库未做隔离，这并非测试环境，而是一起已进入生产环境的P0级事故。

受控实验、评测环境遭遇真实系统、真实部署影响用户，这是三种截然不同的风险。厘清它们，是为了看清并控制风险不再蔓延。

沙箱当然有其作用，能将模型限制在可控环境，阻挡大量意外。但Agent要代办事务，就必须接触网络、账号、接口和真实数据。只要白名单、凭据或权限配置存在缺口，它就可能自行找到那条路。

因此，监管不能仅关注AI生成了什么内容，更要管理它能访问什么、执行什么。也就是说监管需从单个事件/内容，升级为对整体流程的管理。

Agent默认应仅拥有最小权限。读写操作需分离，可撤销与不可逆操作也应分开。登录账号、发消息、改数据、付款、取消预约等涉及他人的动作，执行前必须获得人类确认。

每一步操作都必须留有日志，系统必须随时具备中断能力。高能力模型和长期自主运行的Agent，上线前应接受独立评测，而非仅由开发者自行证明安全。

事故发生时，模型版本、实际配置、授权范围、影响对象及补救方案都应公开。模型开发商、Agent产品方、部署者及接口提供平台，掌握对应环节的各方都应承担相应责任，并为受影响者提供补救和赔偿。

加强监管并非为了关停AI。一个能代订课程、写代码、查资料的助手，谁不想要？正因为它能按下的按钮越来越多，我们才更需要清楚：谁给了它权限，谁审视过它的动作，出了问题又由谁负责。

那位原本排在候补第一却莫名被取消预约的陌生人，是最大的受害者。