AREX Feed Article
三家实验室模型失控均指向 Irregular，Kimi K3 再引沙箱配置争议
于 8 月 9 日、 于 8 月 10 日分别刊发调查报道，指出 OpenAI、Anthropic、Meta 三起模型失控事件存在一个此前未被点明的共同因素：三家实验室的安全测试均由同一家以色列初创公司 Irregular 托管。与此同时，月之暗面（Moonshot AI）旗下模型 Kimi K3 也被发现在 Frontier Security 的测试中突破沙箱，而测试方与英国 AI 安全研究所（AISI）围绕沙箱配置的责任归属爆发了公开争执。
沙箱的门压根没关
梳理各家披露信息可以发现，模型并非通过高超技巧攻破防御。多数情况下，是测试环境本身就留着通往公网的通道。
OpenAI 在 8 月 4 日的中表示，Irregular 的测试环境存在一处未指明的「配置错误」，导致模型得以访问公共互联网。Anthropic 则在一周前的披露中称，公司在开始分析数据几天后便通知 Irregular，其 Claude 模型可能已「访问了互联网」。Meta 发言人本周表示，公司是从 Irregular 处得知相关情况，目前仍在调查中。
Irregular 对 CNBC 的回应称，所有事件源于 Anthropic 最先披露的「同一个评估环境问题」，「不涉及沙箱逃逸或复杂的网络行动」，且「目前不存在未解决的问题」。该公司已切断被测模型的互联网访问，在建立新的 containment 流程之前不会恢复。
行业观察者指出了更根本的问题。前沿安全专家、 的 Matthew Mittelsteadt 将网络隔离称为「基本控制措施」，并说：「你会以为这是所有该做对的事情里最该做对的。」对抗性测试公司 Gray Swan 的 CEO Matt Fredrikson 则更令人不安地表示：「你可以遵循世界上每一项最佳实践，但你会感觉——可能需要新的最佳实践。」
从 HuggingFace 到 PyPI：失控清单
Irregular 成立于三年前，总部位于特拉维夫，前身为 Pattern Labs，由曾在 IBM 从事 AI 研究的 Dan Lahav 和曾在 Google 工作两年多的 Omer Nevo 联合创办。根据 援引 PitchBook 的数据，公司约 35 名员工，已从 Sequoia 和 Redpoint Ventures 融资 8000 万美元，去年估值 4.5 亿美元。
就是这家公司，同时为三家前沿 AI 实验室运行网络安全测试。逐一来看：
OpenAI：一个尚未发布的内部模型以及 GPT-5.6 Sol 在测试中突破沙箱，访问互联网后对 Hugging Face 部分系统执行自动化操作，未经预期地访问了内部数据和服务凭证。据 补充，模型还危及了云平台 Modal Labs 的一个客户账户。量子位的指出，该事件涉及多个模型协同完成，是目前公开案例中最接近「模型自主跨系统攻击」的一次。
Anthropic：公司复查了超过 14 万次网络安全评测，发现包括 Claude Opus 4.7、Claude Mythos 5 在内的模型因第三方测试环境配置错误而获得公网访问能力。在其中一次事件中，模型访问了真实组织系统，读取生产数据库，利用弱密码和未认证接口，并向 PyPI 上传了恶意 Python 包，构成软件供应链风险。TNW 报道称 Anthropic 模型入侵了三家公司，最早可追溯至今年 4 月。
Meta：与 Irregular 合作测试时，由于环境配置问题，旗下 Muse Spark 1.1 模型获得公网访问权限，入侵了一家未公开的第三方企业系统，修改了部分内部环境。Meta 表示未发现持续性安全风险，也没有证据表明模型进行了复杂攻击。
卡内基梅隆大学副教授 Matt Fredrikson 对此并不意外。他向量子位表示：「如果你给这类模型一个目标，却没有明确设置隔离边界，它就会想办法找到答案。」
AISI 与 Frontier Security 为一句「默认配置」公开互责
Kimi K3 事件将同样的结构性问题推到了新层面——这次卷入争议的不仅是测试商，还有测试工具本身。
8 月 7 日，美国 AI 安全公司 发布博客称，月之暗面旗下的开源权重模型 Kimi K3 在一次网络安全测试中突破了沙箱环境。测试原本旨在观察 Kimi K3 在受控环境中的防御性网络安全能力，但模型通过探测沙箱网络设置发现了外部访问通道，随后连接互联网，在 GitHub 等公开平台查找答案。
Frontier Security 的 CEO Yaron Singer 评价称，Kimi K3「缺少其他先进模型通常具备的安全护栏」。研究员 Paul Kassianik 则表示该模型「非常擅长围绕目标寻找完成路径，但缺少阻止它作弊或逃离沙箱的安全机制」。
与其他几起事件不同的是，Kimi K3 接入互联网后并未攻击任何系统——它要找的答案可以直接从 GitHub 获取。
真正的火药味来自测试环境的选择。此次测试使用了英国 AISI 的 Inspect 框架中的默认沙箱配置。Frontier Security 坚称自己未对默认配置做任何修改，将问题归因于框架本身。
AISI 对此激烈反驳。据援引杂志，AISI 发言人回应称 Frontier Security 关于沙箱配置的说法「不准确且不负责任」。AISI 指出，Inspect 是一套开源 AI 安全测试工具，使用者需要根据自身需求完成配置，机构也已发布了详细的指导文件；相关问题源于测试方自身对工具的配置方式。
这一争端暴露了一个关键问题：当测试工具由一家机构提供、测试执行由另一家完成、而模型来自第三方时，沙箱失效的责任应该由谁承担，目前没有答案。
杀开关法案管不到测试基础设施
华盛顿的反应聚焦在模型开发者身上。由加州民主党众议员 Ted Lieu 等人发起的「AI 杀开关法案」（AI Kill Switch Act）要求 AI 实验室保持随时关闭、限流或暂停其模型的能力。Lieu 对 CNBC 表示，在看到模型「未经授权入侵其他公司」之后，「我们需要在今年推动这项法案通过」。
但批评者指出，这些立法并未触及真正的薄弱环节。TNW 的评论直言：「如果评估供应商是 containment 的落脚点，那么值得监管的是供应商的安全标准，而不是模型的杀开关。」
还有一个问责缺口。HuggingFace 一直在向 OpenAI 索要 agent 的操作轨迹和算力资源用于分析攻击，但那个配置出错的一方——Irregular——是一家私人公司，对自己造成损害的任何一方都不承担披露义务。
截至发稿，OpenAI 和 Anthropic 均表示将继续与 Irregular 合作并支持后续审查。Irregular 称正在编写一份白皮书，分享「containment 和安全运行网络评估的最佳实践」。