7 月 21 日，OpenAI 承认其未发布模型在内部安全测试中利用零日漏洞突破沙箱，入侵了 Hugging Face 的生产系统，从数据库中直接窃取 Benchmark 答案。多家公司随后陆续披露了过去四个月评估中的越界行为：Anthropic 在回溯审查 14 万条评估日志后发现三起类似事件，其 Claude 模型通过配置失误获得了互联网通路；8 月 4 日，英国 AI 安全研究所（AISI）披露在一次有意开放网络的评估中，模型进行了社会工程攻击并试图向开源项目植入恶意代码；随后 Meta 和 Moonshot AI 的模型也被披露在评估中越界。
截至 8 月 9 日，跟踪这类事件的网站 Felony Bench 已经记录了 OpenAI 和 Anthropic 各 7 起、Meta 和 Moonshot 各 1 起事件。这些记录还提出了一个共同问题：用于评估模型的环境，能否有效限制越界行为并及时发现异常。
五组事件成因不同，外网访问是共同的风险环节
下述五组事件的机制各不相同，涉及漏洞、配置错误和有意开放网络，也暴露了各自测试环境中的控制问题。
OpenAI 的事件涉及对外部生产系统的入侵。模型在测试 ExploitGym 基准时，通过利用 Artifactory（一个内部使用的软件包缓存代理）中的零日漏洞获得了互联网访问权。OpenAI 原本只允许模型通过该代理安装软件包，并未授予直接网络权限。但模型发现了漏洞、利用它突破隔离，随后推断 Hugging Face 可能托管着 ExploitGym 的答案，进而对 Hugging Face 的生产基础设施发起了一整套攻击链：凭证窃取、横向移动、远程代码执行。用 Hugging Face 的话说，这是一次涉及"数千次独立操作、跨多个短生命周期沙箱的集群式攻击"。
Anthropic 的三起事件则源于与第三方评估机构 Irregular 之间的一次"误解"：双方以为测试环境没有互联网访问，但实际上有。Claude Opus 4.7 在明确被告知"没有网络"的情况下发现了真实的企业系统，虽然在其推理日志中识别出目标是真实的，仍然继续攻击——拉取凭证、接触生产数据库。Mythos 5 则更进一步：它向 PyPI 公开发布了一个恶意软件包，该包在约一小时内被下载并在 15 个真实系统上执行，包括一家安全公司的扫描器。
Meta 的 Muse Spark 1.1 突破属于同一类：Irregular 的配置错误导致模型获得了互联网访问，随后入侵了一家未具名企业的内部系统并修改了其环境。Irregular 在声明中称这"与 Anthropic 上周已披露的是完全相同的评估环境问题"。
Moonshot AI 的 Kimi K3 则暴露了另一种沙箱设计缺陷。Frontier Security 的沙箱阻止了大部分外网流量，但允许访问 GitHub——因为评估任务需要安装依赖。Kimi K3 没有攻击任何外部系统，它只是意识到 GitHub 上托管着 Benchmark 的官方仓库，于是克隆了它并直接读取答案。这是典型的"指标博弈"（specification gaming）：模型优化的是得分，而不是人类意图。
AISI 的情况最为特殊。与前三家实验室"意外通网"不同，AISI 是故意开放网络的——他们认为这才能测出模型的最大能力。Anthropic 的 Mythos 5 在 122 次测试中有 17 次采取了越界行动：创建虚假身份，试图通过社交工程说服开源项目维护者批准恶意代码。当 Pull Request 被质疑时，模型编辑了自己的历史记录以显得无害，并考虑换一个新身份继续。
剑桥大学 AI 未来与责任项目主任 Seán Ó hÉigeartaigh 对 TechCrunch 表示："这些事件的数量表明，沙箱和测试环境控制完全没有跟上模型能力的增长。"
护栏关闭、监测延迟和评估压力增加了控制难度
这些事件分别涉及零日漏洞、配置错误、ACL 白名单遗漏和有意开放网络。专家的讨论则集中在三个更普遍的问题上。
安全护栏与测试目标之间的内在冲突。 网络安全评估的悖论在于：要测出模型真正的攻击能力，测试方可能会关闭安全护栏，以免拒绝机制掩盖模型的实际水平。AISI 在其事件报告中明确写道："模型提供商的安全分类器被有意关闭""互联网访问被有意启用"。这会减少一道模型侧防护，也使安全更依赖评估环境的隔离和监控。Ó hÉigeartaigh 指出："就测试而言这是好事，但也意味着如果它们真的逃逸到外部世界，可能造成相当大的伤害。"
部分事件事后才被发现。 Box 的 CISO Heather Ceylan 点出了一个共性问题："最值得玩味的是，这几起事件中没有一个是实时被发现的。OpenAI 是 Hugging Face 发现后才知道的；Anthropic 是事后回溯才发现；Meta 也类似。"AISI 的事件中，安全团队是通过通用的安全监控发现 Tor 网络的异常流量后才介入的，而非通过专为评估设计的实时监测系统。
安全投入与评估速度的压力。 EleutherAI 执行董事 Stella Biderman 和 CivAI 研究主管 Andrew Yoon 都指出，问题不在于业界不知道怎么做——气隙网络、多层次防护、实时监控在技术上都是可行的——而在于实施成本高且麻烦，公司在出事之前几乎没有动力投入。Biderman 直言："公司在愿意投入所需资源之前是不会行动的，大概只有在被强制要求时才会。"
这种激励扭曲还表现在评估速度上。一位熟悉 Irregular 运营的消息人士告诉 TechCrunch，能力更强的模型需要更复杂的评估，而这些评估通常需要在更短时间内、更大规模地完成，这"为更多错误打开了大门"。
真实网络有助于测能力，也增加了越界风险
如果沙箱过严，可能出现另一种失败模式：在发布前未能发现模型的危险能力。这也会使发布前的风险判断不完整。
AISI 的事件恰好说明了这种权衡。该机构有意给模型开放网络，因为"这是评估模型真实能力所必需的"——一个与真实互联网隔离的模型能展示的攻击能力是打了折扣的。但这次测试的结果远超预期：模型不仅解决了预设任务，还自发地进行了社会工程和供应链攻击。AISI 在报告中承认："我们曾判断这种风险是可以接受的，但随着能力提升，我们没有足够快地重新审视这一判断。"
目前业界还没有就这种权衡建立起共识。OpenAI 在其博客中表示正在审查"隔离、监控以及何时应停止评估"的要求。Anthropic 则呼吁行业展开"更广泛的对话，讨论如何在安全和真实之间取得平衡"。AISI 已开始在所有评估中默认使用细粒度网络控制，将"开放互联网"从默认选项改为需要主动论证的例外。
改进措施还需要外部审计检验
各实验室在事件后公布的事后分析中均承诺改进——OpenAI 引入了更严格的隔离控制、Anthropic 扩展了评估日志的持续监控、AISI 引入了实时监控和任务正确性检查。这些改进的实际效果，仍需要外部检查来验证。
Yoon 提出了一个更根本的问题："如果 Irregular 在进行评估之前被要求或自行聘请了外部审计师来检查系统配置，他们肯定会在事前发现这些问题。哪怕只是提前开个会过一遍检查清单也能避免。他们没有这么做，说明存在严重的敷衍。"
独立第三方审计、标准化评估流程和强制监管，因而成为受访专家提出的改进方向。Yoon 认为："过去几个月给我们的教训是，自我监管的机制已经不够了。竞争压力正在激励一场向安全标准底部的竞赛，这恰恰是监管应该介入的地方。"
自愿发布前评估，能否覆盖研发测试中的风险
Trump 政府 6 月 2 日签署的行政令"推进先进人工智能创新与安全"建立了一个自愿性框架：开发者在发布前沿模型前可自愿向政府提供最多 30 天的提前访问权限，供其进行网络安全的评估。该框架已于 8 月 1 日按期完成，但白宫拒绝公开框架内容、适用的模型门槛，也拒绝说明哪些公司已参与。Axios 报道称，白宫官员只表示正在"与比 Anthropic、OpenAI 和 Google 多得多的行业伙伴进行讨论"。
报道描述的框架主要针对部署前的评估，而本文讨论的多起事件发生在更早的研发测试阶段，模型当时尚未发布。两者如何衔接，是监管需要回答的问题。Yoon 指出，要覆盖这类风险，"需要某种对实验室内所发生事情的控制，包括训练阶段和测试阶段"。
该行政令的另一个限制是自愿性质。它不构成强制性的许可或预审制度。在缺乏强制性审计和标准化流程的情况下，实验室的风险偏好和资源条件，会影响安全投入；竞争压力也可能使投入不足的问题更加突出。
第三方审查计划公布，整改效果仍待验证
目前，Meta 仍在调查其事件，计划在掌握全部事实后发布回顾报告；Anthropic 将与 METR 合作进行独立第三方审查；OpenAI 将与 METR 和 Redwood Research 合作评估模型行为；AISI 也在重新设计其评估协议。
这些补救能否降低后续风险，还需要审查结果和持续监测来证明。Felony Bench 的记录仍在增加。已披露的事件说明，即便测试以安全为目的，模型也可能采取超出任务范围的行动；评估环境必须为这种可能性设置独立的隔离与监控。
