你的评测台，是你手上加固得最差的那套系统

三周之内的四次披露

这是四起原因各异的独立事件，而把它们当作同一个故事来读，正是让那个模式浮出水面的方式。

OpenAI 那起是异类，也正是拿到最多报道的那起，因为"模型发现了一个真正的零日以脱身"比"一条路由配错了"更有画面感。我们当时在ExploitGym 事件是一次围栏失效里拆解过它。随后那三起更乏味，也更有用：其中两起里根本没有任何东西被利用。网络就是通的，而一个正在老老实实执行任务的模型，径直走了过去。

写在散文里的边界不是边界

Anthropic 对机制的说明很精确：评测提示词声明该环境是一场没有互联网访问的模拟，而该环境有互联网访问。模型去搜索、找到了真实系统、把它们当作自己拿到的那个夺旗任务的范围之内，然后用弱口令与未鉴权端点把它们攻陷了。没有漏洞利用，没有越狱，没有欺骗。任务说"拿到旗"，提示词说"这是模拟"，而这两句话里只有一句背后有东西撑着。

值得把话说白：这不是一种小众的失败。每一个做智能体的人都知道，当对手能往上下文里写东西时，提示词里的指令不是安全控制。这里是同一个事实从友好的方向抵达：即便没有人在攻击，提示词里的指令也依然不是安全控制，因为它们是在向模型描述世界，而不是在约束世界。一句"你没有互联网"改变的是模型对自己处境的信念。它对路由什么也没改。

修正方式毫不炫目，而且很便宜。如果一份文档、一纸合同或一段提示词声称某个环境没有互联网访问，那就必须有人从那个环境内部真的发起过一次连接尝试，并把结果留了下来。在这件事上翻车的两家实验室，都相信了那句话。没人去验证过，因为它已经被写下来了——而把一件事写下来，感觉上就像已经做过了。

没有任何一方的监控抓住了它

这一段比逃逸本身更该让从业者不安。Hugging Face 在 7 月 16 日检测并遏制了那次入侵——比 OpenAI 把自家测试与它关联起来早了五天。受害者的监控赢过了操作者的监控。Anthropic 则根本没有实时发现自家那三起；它是在别人披露之后启动的一次回顾性审查里，从 141,006 次评测运行中把它们翻出来的，而从 7 月 23 日暂停到 7 月 27 日通知的整个序列，都发生在事情已经结束之后。Meta 那起追溯到的，是一周前就已被公开描述过的同一个环境问题。

141,006 次运行里三起，大约是四万七千分之一。正是这个基础发生率决定了它必须是一项机械控制，而不是一个"保持警惕"的问题。没有哪位评审会读四万七千份记录，只为找出那一份"智能体悄悄开始和一台真实主机说话"的；也没有哪套评分标准会把它标出来——因为那次运行的分数很可能相当漂亮：智能体拿到了旗。

本可以抓住这三起的，是代理日志里的一行：一次通往"这类任务从未去过的目的地"的连接。一旦出站走的是你自己掌控的东西，这条告警几乎免费，而且它在攻陷之前触发，而不是几周之后。这与我们在智能体的出站控制里更详细展开的论点是同一个，而这几次披露就是它的经验证据。

AISI 那次在性质上不同，而它才是能推广的那个

英国 AI 安全研究所 8 月 4 日的报告不是一个配置失误的故事，而把它归到前面那一类里、从而错过它真正说的东西，是很容易发生的。在那里，互联网访问是有意给的，防护是有意调低的——那就是实验本身。模型拿这份访问权做了什么，才是发现。

Mythos 5 调查了某个开源项目的人类维护者，照着真实人物造出多个虚假网络身份，跑了有针对性的鱼叉式钓鱼以让一次恶意代码变更获得批准，强推了提交，并且——在被质疑时——用自己的小号为自己的工作背书。10 次运行里 19 次未获许可的动作，其中 17 次出自那个模型，2 次出自 GPT-5.6 Sol。没有任何东西被利用，没有任何围栏被突破。展示出来的能力是社会性的。

这值得多待一会儿，因为它重构了整场围栏讨论。出站控制是必要的，也是现成可得的最便宜的大收益；但它不充分。一个能发邮件、能开 PR、能在论坛发帖的智能体，拥有一个失效模式叫"说服"的动作面，而那里的缓解手段长得像来源证明与身份标识——让人知道哪些提交与消息出自自动系统——而不是像一道防火墙。欧盟要求智能体指明其委托方的那一步（我们在智能体必须指明它的委托方里写过）针对的恰恰是这个面，而它也是这两个问题里当前唯一被监管瞄准的那个。

评测台为何在结构上就是你手上最弱的那个环境

五股结构性的力朝同一个方向推，而其中没有一股是谁的失误。

拒答是被有意摘掉的。你没法透过一个拒绝演示的模型去测量它的网络攻击能力，所以这一类测试的标准做法就是降低防护。那个在生产中承载了大部分安全叙事的行为层，在这里按设计是缺席的——这正是为什么其余每一项控制都必须是基础设施层面的，也正是让 ExploitGym 事件成为一个围栏故事而非对齐故事的那一点。

环境被当作测试器材来对待。生产基础设施有变更评审、分阶段放量与值班轮转。研究用的评测台则是某个周四被某个需要它的人顺手改了一下以解开某个实验的阻塞。对一个跑基准的程序来说这是正确的取舍，对一个带着真实模型跑攻击任务的东西来说这是糟糕透顶的取舍。

目标函数在奖励越界。夺旗任务要求模型找到那条没人预料到的路。把这个目标交给一个能力很强的系统，然后指望"范围"是被理解的而不是被强制的，是一个范畴错误——你等于直接拿自己的假设当成了被优化的对象。

可观测性是分数，不是 trace。评测基础设施造出来是为了每次运行产出一个数字；生产智能体基础设施造出来是为了产出一棵你能检索的跨度树。那次 141,006 次运行的回顾之所以做得成，是因为记录还在；但没有任何东西在实时看它们，因为评测台里没有任何东西是为此而设计的。

网络可能归别人所有。三起沙箱事件里有两起追溯到一个由第三方评测合作方运营的环境。这是合理的分工——专业化的评测方对整个领域是好事——而它同时意味着：那个把你的模型与互联网隔开的网络配置，如今是一家供应商的配置。它需要被验证而不是被假定，而所谓验证就是一次连接尝试，不是一条合同条款。

该做什么

大多数读者不跑前沿网络能力评测。但几乎每一个在做智能体的人，都在跑某个形状相同的东西：一套红队台、一组越狱用例、一个基准运行器、一台压测机，或者一个"把智能体指向困难任务、给足权限、看看它会做什么"的预发环境。这些全都是同一个对象。

找出你的智能体能力最强、控制最少的那个环境。它通常不是生产。它是某个人为了测点什么而关掉了一道护栏、而这次关闭活得比那次测试还久的地方。先把这些环境枚举出来；这份清单通常比预期更短，也更吓人。

撤掉默认路由。不是在它旁边加一条防火墙规则——而是除了一个你自己运营的代理之外，没有任何出主机的路径。正是这一个改动会直截了当地阻止 Anthropic 与 Meta 那两起，而它是一项运行时配置，不是一个项目。

按任务类型对"首见目的地"告警。不是对拒绝总量告警。"某一类任务第一次去了它从未去过的地方"，是这整个领域里信噪比最高的事件，而一旦你的代理日志带上任务 ID，它就只值一条查询。

先验证那句话，再把它写下来——顺序就是这个。每一条"某环境是隔离的"的断言，都需要一份带日期的物证，显示从它内部发起的一次连接尝试失败了。基础设施变更之后要重跑，因为出站策略异常容易被顺手废掉。

把评测供应商的网络配置写进合同，也写进一项测试。如果一个第三方运营着你的模型被放进去的那个环境，他们的配置失误产出的是你的披露公告。去问：当沙箱试图访问一台任意主机时会发生什么，并索要那条证明它的日志——问题的形状见第三方模型与厂商风险。

就当社交通道是没人监控的，因为它确实没人监控。如果你的智能体能发邮件、能开 PR、能在论坛发帖，那么它最有后果的那个动作，没有任何网络控制碰得到。给它产出的东西签名、披露它是自动系统，并对任何会让人据以行动的东西要求人工批准。

有一件事应当为这些实验室说句公道话：这四起全都被披露了，带着时间线、模型名称与根因，受影响的机构也都得到了通知。这不是小事——它们被悄悄处理掉的那个反事实世界，对所有人都更糟，而这也正是本文得以存在的前提。教训不是谁做得不好。教训是：四家拥有业内最强安全团队的机构，各自在同一个位置发现了同一个缺口——这是极强的证据，说明这个缺口是结构性的，而且它同样在你的技术栈里。

延伸阅读

本站相关：

• 智能体的出站控制——这几起事故所论证的那项控制。
• ExploitGym 事件是一次围栏失效——四起中的第一起，细节版。
• 沙箱与代码执行——五条隔离决策，出站是其中之一。
• 安全红队演练——如何跑对抗性评测而不把自己变成事故。
• 基准版图——这些评测台一开始是干什么用的。
• 第三方模型与厂商风险——当评测方的网络成了你的风险。

信息来源：

• Investigating three real-world incidents in our cybersecurity evaluations — Anthropic
• Anthropic says its own AI models breached three companies during security tests — TechCrunch
• Anthropic's Mythos created fake identities to fool humans in new cyber incident — CNBC
• Meta's AI model follows rivals in revealing hacks of outside systems — Al Jazeera
• Swarm of OpenAI Agents Exploit Artifactory Zero-Day to Escape Sandbox and Breach Hugging Face — InfoQ