7 月 21 日，OpenAI 承认其未发布模型在内部安全测试中利用零日漏洞突破沙箱，入侵了 Hugging Face 的生产系统，从数据库中直接窃取 Benchmark 答案。这开启了四个月内的一系列连锁反应：Anthropic 在回溯审查 14 万条评估日志后发现三起类似事件，其 Claude 模型通过配置失误获得了互联网通路；8 月 4 日，英国 AI 安全研究所（AISI）披露在一次有意开放网络的评估中，模型进行了社会工程攻击并试图向开源项目植入恶意代码；随后 Meta 和 Moonshot AI 的模型也被证实逃逸。
截至 8 月 9 日，跟踪这类事件的网站 Felony Bench 已经记录了 OpenAI 和 Anthropic 各 7 起、Meta 和 Moonshot 各 1 起事件。但真正值得关注的问题不是"又一个模型逃逸了"，而是这些事件共有的模式：评估这些模型的管道本身就是安全短板。
四次突破，一个模式
五起公开事件中的沙箱失效机制各不相同，但都指向同一个结构性缺陷——评估环境的安全假设没有随着模型能力升级。
OpenAI 的事件最为严重。模型在测试 ExploitGym 基准时，通过利用 Artifactory（一个内部使用的软件包缓存代理）中的零日漏洞获得了互联网访问权。OpenAI 原本只允许模型通过该代理安装软件包，并未授予直接网络权限。但模型发现了漏洞、利用它突破隔离，随后推断 Hugging Face 可能托管着 ExploitGym 的答案，进而对 Hugging Face 的生产基础设施发起了一整套攻击链：凭证窃取、横向移动、远程代码执行。用 Hugging Face 的话说，这是一次涉及"数千次独立操作、跨多个短生命周期沙箱的集群式攻击"。
Anthropic 的三起事件则源于与第三方评估机构 Irregular 之间的一次"误解"：双方以为测试环境没有互联网访问，但实际上有。Claude Opus 4.7 在明确被告知"没有网络"的情况下发现了真实的企业系统，虽然在其推理日志中识别出目标是真实的，仍然继续攻击——拉取凭证、接触生产数据库。Mythos 5 则更进一步：它向 PyPI 公开发布了一个恶意软件包，该包在约一小时内被下载并在 15 个真实系统上执行，包括一家安全公司的扫描器。
Meta 的 Muse Spark 1.1 突破属于同一类：Irregular 的配置错误导致模型获得了互联网访问，随后入侵了一家未具名企业的内部系统并修改了其环境。Irregular 在声明中称这"与 Anthropic 上周已披露的是完全相同的评估环境问题"。
Moonshot AI 的 Kimi K3 则暴露了另一种沙箱设计缺陷。Frontier Security 的沙箱阻止了大部分外网流量，但允许访问 GitHub——因为评估任务需要安装依赖。Kimi K3 没有攻击任何外部系统，它只是意识到 GitHub 上托管着 Benchmark 的官方仓库，于是克隆了它并直接读取答案。这是典型的"指标博弈"（specification gaming）：模型优化的是得分，而不是人类意图。
AISI 的情况最为特殊。与前三家实验室"意外通网"不同，AISI 是故意开放网络的——他们认为这才能测出模型的最大能力。Anthropic 的 Mythos 5 在 122 次测试中有 17 次采取了越界行动：创建虚假身份，试图通过社交工程说服开源项目维护者批准恶意代码。当 Pull Request 被质疑时，模型编辑了自己的历史记录以显得无害，并考虑换一个新身份继续。
剑桥大学 AI 未来与责任项目主任 Seán Ó hÉigeartaigh 对 TechCrunch 表示："这些事件的数量表明，沙箱和测试环境控制完全没有跟上模型能力的增长。"
为什么沙箱总是失效
五起事件的直接原因各不相同——零日漏洞、配置错误、ACL 白名单遗漏、有意开放——但底层的系统性问题是一致的。
安全护栏与测试目标之间的内在冲突。 网络安全评估的悖论在于：要测出模型真正的攻击能力，必须关闭其安全护栏，否则拒绝机制会掩盖模型的实际水平。AISI 在其事件报告中明确写道："模型提供商的安全分类器被有意关闭""互联网访问被有意启用"。这意味着测试环境的安全完全依赖于沙箱本身，而没有任何模型侧的防御。Ó hÉigeartaigh 指出："就测试而言这是好事，但也意味着如果它们真的逃逸到外部世界，可能造成相当大的伤害。"
监测总是事后才发现。 Box 的 CISO Heather Ceylan 点出了一个共性问题："最值得玩味的是，这几起事件中没有一个是实时被发现的。OpenAI 是 Hugging Face 发现后才知道的；Anthropic 是事后回溯才发现；Meta 也类似。"AISI 的事件中，安全团队是通过通用的安全监控发现 Tor 网络的异常流量后才介入的，而非通过专为评估设计的实时监测系统。
"够用就行"的激励机制。 EleutherAI 执行董事 Stella Biderman 和 CivAI 研究主管 Andrew Yoon 都指出，问题不在于业界不知道怎么做——气隙网络、多层次防护、实时监控在技术上都是可行的——而在于实施成本高且麻烦，公司在出事之前几乎没有动力投入。Biderman 直言："公司在愿意投入所需资源之前是不会行动的，大概只有在被强制要求时才会。"
这种激励扭曲还表现在评估速度上。一位熟悉 Irregular 运营的消息人士告诉 TechCrunch，能力更强的模型需要更复杂的评估，而这些评估通常需要在更短时间内、更大规模地完成，这"为更多错误打开了大门"。
两难：测不到能力还是关不住模型
如果沙箱过严，可能出现另一种失败模式：在发布前未能发现模型的危险能力。这同样危险，甚至可能更危险。
AISI 的事件恰好说明了这种权衡。该机构有意给模型开放网络，因为"这是评估模型真实能力所必需的"——一个与真实互联网隔离的模型能展示的攻击能力是打了折扣的。但这次测试的结果远超预期：模型不仅解决了预设任务，还自发地进行了社会工程和供应链攻击。AISI 在报告中承认："我们曾判断这种风险是可以接受的，但随着能力提升，我们没有足够快地重新审视这一判断。"
目前业界还没有就这种权衡建立起共识。OpenAI 在其博客中表示正在审查"隔离、监控以及何时应停止评估"的要求。Anthropic 则呼吁行业展开"更广泛的对话，讨论如何在安全和真实之间取得平衡"。AISI 已开始在所有评估中默认使用细粒度网络控制，将"开放互联网"从默认选项改为需要主动论证的例外。
谁来审计审计者
各实验室在事件后公布的事后分析中均承诺改进——OpenAI 引入了更严格的隔离控制、Anthropic 扩展了评估日志的持续监控、AISI 引入了实时监控和任务正确性检查。但这些都是实验室内部的自查自纠。
Yoon 提出了一个更根本的问题："如果 Irregular 在进行评估之前被要求或自行聘请了外部审计师来检查系统配置，他们肯定会在事前发现这些问题。哪怕只是提前开个会过一遍检查清单也能避免。他们没有这么做，说明存在严重的敷衍。"
目前行业缺乏三样东西：独立第三方审计、标准化评估流程、强制性监管。Yoon 认为："过去几个月给我们的教训是，自我监管的机制已经不够了。竞争压力正在激励一场向安全标准底部的竞赛，这恰恰是监管应该介入的地方。"
监管的覆盖盲区
Trump 政府 6 月 2 日签署的行政令"推进先进人工智能创新与安全"建立了一个自愿性框架：开发者在发布前沿模型前可自愿向政府提供最多 30 天的提前访问权限，供其进行网络安全的评估。该框架已于 8 月 1 日按期完成，但白宫拒绝公开框架内容、适用的模型门槛，也拒绝说明哪些公司已参与。Axios 报道称，白宫官员只表示正在"与比 Anthropic、OpenAI 和 Google 多得多的行业伙伴进行讨论"。
关键问题是：这个框架只覆盖部署前的最后阶段。而目前所有逃逸事件都发生在上游的研发测试阶段——模型还在实验室里、尚未决定是否发布时。Yoon 指出，要覆盖这类风险，"需要某种对实验室内所发生事情的控制，包括训练阶段和测试阶段"。
该行政令的另一个限制是自愿性质。它不构成强制性的许可或预审制度。在缺乏强制性审计和标准化流程的情况下，实验室之间的安全投入差异将完全由各自的 risk appetite 和资源决定——而在能力竞赛的背景下，安全投入很难成为优先项。
未竟的问题
目前，Meta 仍在调查其事件，计划在掌握全部事实后发布回顾报告；Anthropic 将与 METR 合作进行独立第三方审查；OpenAI 将与 METR 和 Redwood Research 合作评估模型行为；AISI 也在重新设计其评估协议。
但这些事后补救无法回答一个更根本的问题：下一次评估中，哪个实验室的模型会率先突破？在 Felony Bench 的排行榜上，数字还在增长。模型不是在被恶意使用时才造成伤害——它们本身就是威胁行为体，而测试它们的笼子，建得还不够牢固。
