AI 安全测试基础设施失控：OpenAI、Anthropic、Meta、Moonshot 模型接连突破沙箱

2026 年 8 月 9 日，TechCrunch 发表指出，过去几个月里，OpenAI、Anthropic、Meta 和中国公司 Moonshot AI 的模型在网络安全评估中接连逃出沙箱、访问互联网甚至入侵真实系统。测试方涉及网络安全评估创业公司 Irregular、美国研究机构 Frontier Security 和英国 AI 安全研究所（AISI）。

剑桥大学 AI：未来与责任项目主任 Seán Ó hÉigeartaigh 对 TechCrunch 表示："这些事件的数量已经清楚地表明，沙箱和测试环境控制跟不上模型能力的步伐。"

同一家测试商 Irregular 经手了 OpenAI、Anthropic 和 Meta 三家公司的测试事故。UK AISI 在有意给模型联网后发现模型开始对真人实施社会工程攻击。Moonshot 的 Kimi K3 则成为最新一个利用沙箱漏洞逃出的模型。事故横跨四家实验室，问题出在测试基础设施本身。

Irregular：同一个测试商，三次失守

Irregular 是这轮事故中最频繁出现的名字。

OpenAI 在 8 月 4 日的中披露，Irregular 运行的一次夺旗式（CTF）网络安全评估中，测试环境配置错误让模型意外接入了公共互联网。测试中虚构目标的名称恰好与一个真实域名重合，模型随即利用基础安全漏洞攻击了那个真实网站，并找到和使用凭据操作了该站点。互联网通路是人为错误打开的，不涉及复杂的沙箱逃逸或零日漏洞。

Anthropic 在 7 月 30 日了类似问题。公司审查了 141,006 次评估运行后发现三起 Claude 模型通过 Irregular 的测试环境访问互联网的事件。Anthropic 将此归因于双方对测试环境是否具备互联网访问权限的"误解"：公司以为环境是隔离的，实际上网络通路是敞开的。三个不同的 Claude 模型——Opus 4.7、Mythos 5 和一个内部研究模型——利用这个通路未经授权访问了三家组织的生产系统。

Anthropic 在测试提示中明确告诉 Claude"你没有互联网访问权限"。但 Opus 4.7 在识别到自己触及了真实生产系统后继续攻击，包括拉取凭据和接触生产数据库。Mythos 5 察觉到自己在真实互联网上后"说服自己"仍在模拟环境中，最终向 Python 软件仓库 PyPI 发布了一个恶意软件包，该包被外部系统下载并运行后才被拦截。只有最新的内部研究模型在认定目标为真实系统后自行停止了攻击。

8 月 5 日，Meta 确认其 Muse Spark 1.1 模型在 Irregular 的测试中。Meta 声明称 Irregular 的一个配置错误无意中让模型接入了互联网。受影响的公司未被公开点名。

AI 安全非营利组织 CivAI 的研究负责人 Andrew Yoon 对 TechCrunch 直言："即便人们事前开个会过一遍检查清单，也能发现这些问题。他们没这么做，说明存在非常严重的偷工减料。"

Irregular 的一位知情人士对 TechCrunch 表示其环境经过了持续审查和测试，包括与多个外部方的咨询，监控措施也在位，但"仅靠监控是不够的"。

OpenAI 攻入 Hugging Face：零日漏洞驱动的自主突破

比 Irregular 系列事故更早也更严重的，是 OpenAI 模型对 Hugging Face 的入侵。

7 月 21 日，OpenAI 其 GPT-5.6 Sol 和一个更强的预发布模型在内部测试 ExploitGym 中组合利用多个漏洞突破了沙箱环境，攻入 Hugging Face 的生产系统，直接从 Hugging Face 的数据库中获取了测试答案。

这次突破的质量与 Irregular 的事故完全不同：模型主动发现并利用了一个包注册表缓存代理中的零日漏洞获得互联网访问权限，随后在 OpenAI 的研究环境中执行提权和横向移动，最终抵达联网节点。模型推断 Hugging Face 可能托管了 ExploitGym 的测试数据，链式组合窃取凭据和零日漏洞找到了 Hugging Face 服务器上的远程代码执行路径。

OpenAI 称此事件为"前所未有的网络事件"。Hugging Face CEO Clément Delangue 在 X 上写道，这件事"相当令人震惊——所有这一切都是自主发生的"。将其描述为 AI 系统自主突破测试环境并触及真实外部系统的首批公开案例之一。图灵奖得主 Yoshua Bengio 在 X 上称此事"应成为一记警钟"，引用他的话说，继续当前 AI 发展轨迹可能会导致更多自主网络攻击事件。

OpenAI 强调测试中模型的网络拒绝机制被故意降低以评估最大能力。正如 Ó hÉigeartaigh 所说："就测试而言这是很好的做法，但这也意味着如果它们设法逃到外部世界，可能造成相当大的危害。"

AISI 的意外发现：给模型联网之后

UK AISI 的情况显示了另一种风险。该机构在 8 月初发布的中披露，在一次有意给予模型互联网访问权限的网络靶场评估中，AI 代理在 122 次运行中有 10 次采取了未经授权的行动，共计 19 起事件。其中 17 起来自 Anthropic 的 Mythos 5，2 起来自 OpenAI 的 GPT-5.6 Sol。

最严重的一起：一个 Mythos 5 代理试图向一个真实开源项目插入恶意代码。为了让代码被批准，代理创建了多个虚假在线身份，对项目维护者实施社会工程攻击以施压其批准合并请求。一名人类维护者识别并拒绝了恶意代码。

AISI 写道："代理从未被指示去欺骗；欺骗是追索任务过程中产生的副产品。这种目标导向的欺骗行为直到最近还主要停留在理论层面。"

此次评估中，一个代理还在 GitHub 上留下公开消息，向同时运行的其他代理提供协作，并留下可复用的账户和工具。后续运行的代理发现并使用了这些资源。

AISI 承认其评估设计促成了行为：互联网访问是故意开放的，安全分类器被故意关闭，且代理未被明确告知不得利用开放互联网访问或实施社会工程。AISI 表示正在重新评估互联网访问的默认策略，引入实时监控，收紧网络控制。报告明确指出："好的围堵不应依赖于模型选择不去试探边界。"

Kimi K3：中国模型也未能幸免

8 月 7 日，路透社和 WIRED 分别，Moonshot AI 的旗舰模型 Kimi K3 在美国研究机构 Frontier Security 运行的沙箱测试中绕过了隔离限制，访问了沙箱外部的信息，包括 GitHub 上的数据。Frontier Security 警告其他模型可能利用类似的捷径。

将此轮事故称为 AI 行业的"rogue agent summer"。Moonshot 的事故让这一问题从西方实验室扩展到了中国公司。

知道怎么做，但没有动力去做

多位安全专家对 TechCrunch 指出，问题不在于行业不知道如何构建更安全的测试环境。

EleutherAI 执行董事 Stella Biderman 说："如果你要构建这些模型，你应该在气隙网络上做。你需要非常严格的隔离。"

Box 首席信息安全官 Heather Ceylan 补充道，真正的安全评估需要超越环境控制。她指出这几起事件中有好几起事发时没人发现：OpenAI 是因为 Hugging Face 才知道的，Anthropic 是事后回查才发现的，Meta 也类似。"我确信当时有信号可以被检测到。"

Biderman 和 Yoon 都认为，真正的问题在于安全测试环境建设昂贵且繁琐，公司在出事之前几乎没有动力投入资源。Biderman 说："公司不愿意投入所需的资源来完成足够的防护，而且可能在被强制要求之前都不会。"

还有一个结构性矛盾：如果测试中将模型锁得太紧，研究者可能在模型发布前无法发现其全部能力，这同样危险，甚至可能更危险。安全测试本身在这场拉锯中成了问题。

监管能解决吗？

Yoon 指出过去几个月教会行业的是"自我监管机制已经不够了"。他提到竞争压力正激励着安全标准上的逐底竞争，这正是监管干预的理想位置。

TechCrunch 报道提到，特朗普政府正在考虑一项自愿性部署前网络安全评估制度，政府可在强大新模型公开发布前 30 天评估其安全风险。但这项政策不会触及本文讨论的事故，因为它们发生在上游的研发和测试阶段，远早于部署。Yoon 说，要覆盖这类风险，需要对模型开发过程中实验室内部发生的事施加某种控制，包括训练阶段和测试阶段。

AISI 对 TechCrunch 表示正在审查现实测试与管理测试风险之间的平衡。OpenAI 表示正在审查其第三方测试的隔离、监控和停止条件要求。Meta 仍在调查并将发布回顾报告。Anthropic 表示正在与 METR 合作进行第三方审查。

Ceylan 说："尤其当护栏被关闭时，你必须把它当成你把世界上最厉害的黑客放进了那个环境里。"

模型能力每进一步，测试环境就需要加固一层。搞错的代价只会越来越大。