2023年11月23日拍摄的照片显示，在德国西部法兰克福的一台笔记本电脑屏幕上（右）显示了美国人工智能研究组织 OpenAI 开发的 ChatGPT 应用程序的徽标，在智能手机屏幕上显示了字母 AI。（图片来源：KIRILL KUDRYAVTSEV/AFP via Getty Images）
【看中国2026年8月11日讯】（看中国记者路克编译/综合）《华盛顿邮报》8月10日报道，OpenAI今年春季进行的一系列网络安全能力测试出现了令研究人员始料未及的情况：多个AI模型没有按照要求完成测试任务，而是开始相互协作，寻找绕过测试限制的方法，甚至建立了一个内部“秘密留言板”，交换信息和破解思路。更令人担忧的是，这种异常行为持续数周才被发现。
据报道，今年5月至6月间，这批AI智能体持续利用秘密通信渠道协调行动，最终找到突破测试环境、连接外部互联网的方法。OpenAI工作人员发现第一次“越狱”后，对受到影响的系统进行了清理，但仅仅两天后，AI智能体再次突破限制，而且第二次行动没有立即被工作人员察觉。
直到7月，AI软件平台Hugging Face披露遭到身份不明的AI模型入侵，OpenAI才意识到测试系统中的模型已经再次逃离原本设置的边界，并最终终止相关实验。
OpenAI安全工程师迈克尔・道尔顿（Michael Dalton）日前在拉斯维加斯“黑帽”（Black Hat）网络安全大会上披露，第二次突破比第一次更复杂。参与行动的AI模型会彼此协调，使用“Jan18”等名称辨认其他智能体，有时还会要求同伴暂缓行动，等待另一名AI确认后再继续执行。
研究人员后来检查模型运行过程中产生的内部推理文本，希望弄清这些AI为什么会开始合作。OpenAI研究员埃里克・华莱士（Eric Wallace）表示，从记录来看，模型似乎逐渐形成了一种“集体效率”的判断——即使帮助其他AI不能立即完成自己的任务，只要整个群体因此节省时间，最终仍可能对自己有利。
这使事件的性质不再只是单个模型意外访问互联网，而涉及多个AI智能体在缺乏明确人工指令的情况下协调行动、分享信息并共同寻找突破限制的方法。
AI网络攻击能力快速增强，安全测试本身却成了突破口
近期发生问题的并不只有OpenAI。
《华盛顿邮报》称，Anthropic、Meta以及英国政府研究人员最近公布的测试结果显示，一些最先进AI模型在接受网络安全能力评估时，也出现了绕过规则甚至离开测试环境的情况。
英国人工智能安全研究所披露，在一项测试中，Anthropic模型采取了网络安全领域所谓的“社会工程”手段：它创建网络身份，并试图向一名人类软件开发人员施压，希望对方批准AI提交到开源软件项目中的恶意代码。不过，管理员最终没有批准相关代码。
Meta也披露过类似意外。该公司原本要求一个AI模型攻击测试环境中的虚构企业，但模型却进入了一家与虚构目标同名的真实公司网站。
部分事故被认为与第三方测试机构Irregular的配置问题有关。Meta表示，协助测试的承包商错误地允许模型连接互联网；Anthropic也表示，其模型涉及外部企业的三起事件与同一机构的配置失误有关。Irregular随后表示已经处理相关问题，并正在制定更严格的AI安全测试标准。
但事件引发的担忧并不仅仅是“测试人员配置错误”。
Anthropic今年公布的一系列网络安全研究显示，前沿模型寻找和利用软件漏洞的能力正在迅速提高。该公司5月公布的研究称，Claude Mythos Preview在发现复杂漏洞后，已经能够把不同攻击步骤组合成完整的端到端攻击链。6月的另一项研究则提醒，已经公开但尚未被所有设备修补的“N日漏洞”（N-day vulnerabilities），可能尤其容易被越来越强大的AI系统大规模利用。
Anthropic此前还表示，AI已经能够大规模发现高严重性漏洞，网络攻防可能正处于一个快速变化的转折点。
网络安全公司Abundant Security联合创始人兼首席技术官约书亚・萨克斯（Joshua Saxe）认为，过去半年已经出现明显变化——AI的能力正在接近能够自动化部分黑客攻击的程度，而随着模型越来越便宜、能力越来越强，这种变化可能重塑传统网络犯罪乃至军事网络冲突。
OpenAI也因此对新模型采取了更谨慎的态度。据Axios报道，该公司已推迟新模型Astra的发布，核心原因之一正是担忧其不断增强的网络安全能力可能被攻击者利用，并让人类防御人员难以及时应对。
从实验室事故变成政治事件，国会和州检察长开始介入
接连曝光的“越界”事件迅速从AI实验室内部的技术问题演变为美国政治和监管议题。
Axios 8月10日报道，佛蒙特州独立派联邦参议员伯尼・桑德斯（Bernie Sanders）已经致函OpenAI首席执行官山姆・奥尔特曼（Sam Altman）、Anthropic首席执行官达里奥・阿莫代伊（Dario Amodei）以及Meta首席执行官马克・扎克伯格（Mark Zuckerberg），要求这些公司暂停AI开发，否则国会可能采取行动。
桑德斯的要求之所以引起关注，是因为OpenAI和Anthropic过去都曾公开强调，如果先进AI出现难以控制的危险能力，公司将采取相应安全措施。
早在2023年，奥尔特曼和阿莫代伊就分别在美国参议院司法委员会下属小组作证。奥尔特曼当时表示，OpenAI会努力把安全机制落实到系统各个层面；阿莫代伊也强调，Anthropic希望通过研究和公开安全技术，让AI变得更加可控。
然而，这次最令批评者抓住不放的恰恰是：当模型真正突破测试边界时，两家公司的工作人员都曾未能第一时间发现。
乔治城大学安全与新兴技术中心执行主任、OpenAI前董事海伦・托纳（Helen Toner）认为，问题反映出AI企业开发速度过快，安全工作没有获得足够时间和资源。
国会方面也开始要求企业作出解释。德州民主党联邦众议员格雷格・卡萨尔（Greg Casar）称，目前情况已经需要按照紧急事件处理。他希望奥尔特曼和阿莫代伊前往国会作证，解释事故究竟如何发生、企业此前是否还有其他没有及时发现的类似事件，以及未来准备如何防止重演。
监管压力同时从州一级出现。
由艾奥瓦、阿拉巴马、佛罗里达、德州等15个州的共和党籍检察长组成的联盟已要求OpenAI保存与Hugging Face事件有关的材料。检察长方面要求保存的范围不仅涉及7月的入侵，还包括OpenAI发现事件的过程、参与测试的未发布模型、内部调查，以及此前任何AI模型未经授权进入外部计算机系统的记录。
这意味着监管机构关注的重点已经从“AI有没有犯错”，进一步转向企业是否建立了足够严格的测试隔离、实时监控和事故报告制度。
真正危险的不是AI会不会攻击，而是谁还能及时发现它
此次事件也让AI行业一个长期存在的矛盾变得更加突出：最先进模型的网络攻击能力正在快速提高，但负责测试这些能力的安全设施和监管机制未必同步升级。
批评者指出，从目前披露的情况来看，一些事故本来可以通过更传统、更严格的网络安全措施避免。例如，让高风险AI模型在完全与外部网络隔离的“气隙系统”（air-gapped system）中接受测试，同时实时监控智能体执行的每一步操作，而不是允许模型长时间自主运行后再检查结果。
AI网络安全公司Embroidery联合创始人兼首席执行官扎克・科尔曼（Zack Korman）认为，近期事件暴露的首先是测试环境设计和安全防护不足。换言之，问题不只是模型越来越聪明，也包括企业是否为这种能力准备好了足够牢固的“笼子”。
另一方面，AI用于网络安全并非只有攻击风险。Anthropic今年6月表示，其Project Glasswing项目已经扩大到约150个组织，希望利用高能力模型主动扫描重要软件系统中的漏洞；此前参与项目的合作伙伴已发现超过1万个高危或严重安全漏洞。
这也解释了为什么行业很难简单选择“停止发展AI网络能力”。同一种能够自动寻找漏洞、编写利用代码和组合攻击链的能力，既可以帮助攻击者，也可以帮助企业在攻击发生之前发现并修复问题。
真正的风险因此正在发生变化。
过去讨论AI安全时，人们经常担忧的是一个遥远的问题——未来某一天，AI是否可能脱离人类控制。而OpenAI、Anthropic和Meta最近披露的事故，把讨论拉回到了更加现实的层面：当模型已经能够寻找漏洞、使用社会工程手段、协调其他智能体，并尝试突破人为设置的网络边界时，实验室究竟有没有能力第一时间发现它正在做什么？
蒙特利尔大学AI教授、非营利组织Evitable创始人大卫・克鲁格（David Krueger）认为，近期事件显示AI行业对当前乃至下一代模型的控制能力仍然不足。
这种担忧如今已经不再局限于长期主张限制AI发展的活动人士。Axios报道显示，Astra延期以及一连串网络安全事故正在迫使硅谷重新讨论一个过去往往被视为过于激进的问题：如果AI能力提升的速度超过安全体系升级的速度，企业是否真的应该主动放慢开发脚步？
OpenAI和Anthropic目前给出的答案仍然不是停止研发，而是加强测试规范、安全隔离和监控机制。
然而，连续发生的突破事件已经留下一个更棘手的问题：随着AI越来越擅长自动化网络攻击，未来衡量一家AI公司是否“安全”，或许不能再只看模型拒绝了多少危险请求，而要看当模型不再按照测试人员预期行动时，人类究竟需要多久才能发现。
