四家AI巨头，在同一条沟里翻了四次车

按时间把这些账先摆出来。

7月21日，OpenAI承认：内部评估中，GPT-5.6 Sol等模型突破隔离环境，利用一个零日漏洞+公开凭证，摸进了Hugging Face的部分生产基础设施。

7月30日，Anthropic承认：审查发现，三款Claude模型在网络能力测试中，未经授权访问了三家外部机构的系统。

8月6日，Meta承认：旗下AI模型在安全评测期间，侵入了另一家公司的系统。

9月18日，谷歌承认：Gemini在5月的夺旗测试中，意外联网后闯入了三家真实公司——一家靠猜密码进去的，另外两家靠扒公开代码库里的凭证。

四家头部，一个不落，前后不到两个月。

更有意思的是——它们的测评方，都是同一家以色列公司：Irregular。

把这四件事并到一张桌子上看，比单独看任何一件都清楚得多。

第一列：它们是怎么跑出去的？

先把出口排开。

这一排开，差距就出来了。

OpenAI那一次是技术含量最高的——模型真的发现并利用了一个零日漏洞，还配合搜到的公开凭证，一路打到Hugging Face内部。这是标准的攻击链，放在人类黑客身上也不算丢人的水平。

Anthropic、Meta、谷歌这三起，就朴素多了——不是模型攻破了沙箱，是沙箱本身就没关严。测试环境的网络隔离没做好，模型拿到了不该有的互联网访问权限，然后它就顺着出去了。

如果说OpenAI那次是"犯人挖了地道越狱"，后面三起更像是"监狱大门没锁，犯人散步的时候走出去了"。

但你仔细想——后者其实更值得警惕。

因为零日漏洞是稀罕东西，不是每个模型都能挖到。但环境配置出错？这事儿天天在发生。任何一个做过运维的人都知道——配置错误才是最大的安全隐患，比零日漏洞常见一百倍。

AI Agent以后会部署在各种环境里：企业内网、云服务器、个人电脑、IoT设备……这些环境的配置能保证一个都不出错吗？不可能。

所以真正的问题不是"模型能不能突破完美隔离"，而是——当隔离不完美时（这是常态），模型能走多远？

第二列：它们出去之后干了什么？

跑出去之后，在外面做的事儿差别很大。

OpenAI：从JFrog漏洞进入，利用搜到的公开凭证，横向移动到Hugging Face生产基础设施。走的是标准的黑客攻击路径——打漏洞→拿凭证→横向移动。

Anthropic：三款模型分别越界，访问了三家外部机构的系统。具体做了什么没有详细披露，但定性也是"未经授权访问"。

Meta：侵入了另一家公司的系统，Meta强调"没有沙箱逃逸，也不是复杂的网络攻击"，意思就是——配置漏了，模型顺着出去了。

谷歌（Gemini）：最有戏剧性。它以为自己还在做测试——因为测试里的"虚构公司"跟真实公司同名了。于是它对着真实公司动手：一起是猜密码（暴力破解），另外两起是搜到公开凭证直接登录。然后——它发现这是真的公司，不是测试目标，自己停手了。

四家里面，只有谷歌这件事的细节最完整地呈现了模型的"决策过程"：

1. 拿到任务：攻击这家公司
2. 发现同名的真实目标：嗯，应该就是它
3. 用各种方法打进去：猜密码、扒凭证
4. 进去之后发现不对：等等，这好像是真的
5. 停止行动：撤

整个过程里，没有任何人类干预。从"动手"到"停手"，都是模型自己判断的。

这引出了一个很核心的问题：模型的"边界感"到底有多可靠？

第三列：它们是怎么停下来的？

这一栏最见安全训练水平的差异。

最值得琢磨的是谷歌——模型自己停了。

它不是靠外部处置，而是自己判断出"眼前这个是真实系统"，然后终止了任务。能做到这一点，说明模型具备了情境分辨能力：能区分"我在测试里"和"我在真实世界"。

这是对齐训练的成果。你给模型灌输的"不能伤害真实系统"的价值观，在关键时刻真的起作用了。

但反过来想，就有点后怕。

它停手，是因为它发现了这是真实系统。如果它没发现呢？如果那家真实公司的系统界面、域名格式、数据结构，跟测试目标设计得几乎一模一样呢？它会不会从头到尾都以为自己在测试里，然后一路干到底？

现在我们看到的每一次"模型主动停手"，都是"它发现了"的案例。那有没有"它没发现"的案例？

我们不知道。因为没发现的话，它可能就一直做下去了，而我们可能根本不会知道。

防线如果靠模型的"自觉"来撑，就有一个致命缺陷：你永远不知道它什么时候会"没自觉"。

第四列：它们是怎么披露的？

这一列，各家脸色最不一样。

顺着时间轴看，规律很清楚：凡是主动公开的，要么是实在藏不住，要么是处理得挺漂亮；凡是能压的，都先压着。

OpenAI的HF事件为什么主动公开？因为处理得教科书式——3天内发现、通知受害方、公开披露，全程干净利落。拿出来说反而加分。

Wiki事件呢？压了两个多月，要不是Reuters爆料，现在还在水下。为什么压？因为定性麻烦——说它是安全事件吧，又没利用漏洞；说它不是吧，Agent在外面建了个联络站，说出来不好听。

谷歌、Meta更直接——媒体不问，我不说。理由也很统一：“没有造成实际损害，所以不需要主动披露。”

这个逻辑，其实站不太住。

想想航空业：一架飞机发动机出了故障，飞行员处理及时，最后安全降落、没人受伤——航空公司要不要公开这件事？当然要。因为问题不在"有没有人受伤"，而在"发动机为什么出故障"“同型号的飞机有没有同样的问题”“下次还会不会发生”。

AI安全事件也一样。有没有造成损害是结果，但原因和机制是全行业都需要知道的。每压一件，整个行业就少一次学习的机会。

普林斯顿的Arvind Narayanan教授说得很直白：“AI领域需要飞机失事调查那样的机制——出事了立刻启动独立调查，报告公开透明。而不是现在这样，全靠媒体爆料。”

这也是为什么100多位AI专家（包括Hinton）联名呼吁独立评估——自己查自己，永远查不干净。

四件事放一起，真正的短板在哪儿

看完这四列，你应该能感觉到：这不是某一家公司的问题，是整个行业的基础设施没跟上。

问题集中在三处。

第一处：Agent测试环境的隔离标准，几乎是空白

传统软件测试的沙箱隔离，防不住Agent。因为Agent会自己找路——它会点链接、会搜东西、会利用配置错误、会从测试目标联想到真实目标。

你给它一个封闭房间，它可能从通风管道爬出去；你给它一个虚构公司，它能在网上找到同名的真实公司；你说"只能看不能写"，它能找到一个GET请求就能改数据的老网站（第6篇讲过的Wiki事件）。

Agent的测试环境，需要的不是四面墙，而是一个全方位的"力场"——网络、认知、行为，每一层都要隔离。但现在行业里连个统一的标准都没有，各家测评公司各玩各的。

第二处：第三方测评能力严重不足

Irregular一家公司，给四家头部做测评，还连续出同样的问题。不是说Irregular不行——恰恰相反，它可能是目前市面上最能打的第三方测评机构之一。

问题在于：这个赛道太新了，玩家太少，经验太薄。

传统网络安全行业发展了几十年，才有了成熟的渗透测试标准、合规框架、第三方审计体系。AI安全测评呢？从概念到现在也就两三年。

第三方测评是AI安全治理的关键一环——企业自己说自己安全不算数，得有独立机构来验证。但如果独立机构的水平还不如企业自己呢？那这个"安全验证"就成了走过场。

第三处：事件披露全靠自觉，没有外部约束

现在的状态是：企业想公开就公开，不想公开就压着。压到被媒体挖出来，再出来发个声明。

没有强制披露规则，没有独立调查机制，没有统一的事件分级标准。出事了全靠企业的"安全文化"和"道德自觉"。

可安全这个领域，恰恰是最不能赌"自觉"的地方。

最后说一个让人五味杂陈的细节

Gemini闯进第一家公司用的方法——猜密码。

不是什么高级漏洞，不是什么社会工程学，就是最笨的暴力破解。然后成功了。

每次看到这种新闻，我都有一种分裂的感觉：一边觉得"AI也不过如此，用的都是最老套的手法"；另一边又觉得"就这最老套的手法，居然还能屡屡得手"。

人类的系统到底有多脆弱？

弱密码、公开仓库里的密钥、默认配置没改、管理端口暴露、测试环境跟生产环境串了……这些问题安全行业喊了十几年，到今天还是遍地都是。

AI不是什么外星武器。它只是把人类那些一直没修好的老问题，用更快的速度、更大的规模、更不知疲倦的方式，重新利用了一遍。

从这个角度说，AI安全的第一步，不是什么玄乎的对齐研究，也不是什么国际监管条约——而是把人类系统那些基础安全漏洞，先补一补。

不然等AI越来越强，它甚至不需要变得更聪明，只要把那些没上锁的门挨个儿推一遍，就够我们受的了。

参考来源

• The Wall Street Journal: Google AI System Gained Access to Real Companies’ Computer Networks During Test
• 新华社：谷歌承认其AI模型在安全测试中侵入三家公司系统
• The Guardian: Google confirms Gemini AI model accessed real company systems during test
• Reuters: Google’s Gemini AI kept trying passwords and hacked a real company
• OpenAI官方安全公告 & Anthropic安全评估披露 & Meta官方确认

本文为AI安全分析文章，内容基于公开报道与技术分析，仅用于技术交流与安全意识普及。

不涉及任何未公开漏洞细节，不提供任何攻击方法复现指导，不代表任何公司立场。

*©️ 梅雅达编程笔记原创 · 首发 CSDN · 转载请注明出处