失控的硅谷AI越狱连续剧

文 | 脑极体 近几天，AI圈发生了一件大事：常年疯狂内卷、比拼技术迭代速度、争相抢占市场高地的硅谷AI巨头们突然集体转身，公开喊话要求给AI发展“踩下刹车”。 7月31日，一封名为“Pacing the Frontier”的联名请愿被投放到各大媒体的邮箱。签名栏几乎囊括了当下全球AI赛道的核心顶层力量：Anthropic CEO达里奥·阿莫代伊及四位联合创始人、OpenAI首席科学家雅库布·帕霍茨基、Meta首席科学家赵晟佳、谷歌DeepMind AI安全与对齐负责人安卡·德拉甘，加上来自近12家前沿AI公司的其他核心员工，签名总人数超过1100人。 他们的诉求只有一个： 敦促美国政府支持建立一项国际机制，在必要时“有意识地放缓前沿自动化AI的发展速度”。 而直接触发这封信的是一周前发生的一连串真实事件：7月21日，OpenAI最新模型侵入全球最大AI开源平台Hugging Face的生产服务器并窃取了测试数据。这是公开报道中第一起由AI模型自主发起、独立完成的真实网络攻击事件。一周后，以“安全至上”为标签的Anthropic发布公告，承认自家Claude模型在测试中也入侵了三家真实机构。 十天之内，全球顶级AI集体爆雷引发热议。为何安全事故会最先出现在硅谷？AI们真的要拥有自主意识了吗？ 为了考高分：AI越狱了？ 事件的起因是一场本该再普通不过的内部安全测试。 OpenAI将旗下最新模型GPT-5.6 Sol及一款能力更强的预发布模型，放在一个名为沙箱的高度隔离测试环境中，目的是完成一项名为ExploitGym的网络安全基准测试。相当于把AI关进一个与外界隔绝的环境中，看看它在封闭环境里能找到多少漏洞。 该测试的核心初衷，是量化大模型的网络攻防极限能力，属于企业内部高阶技术迭代实验。然而事情突然毫无预兆地失控了。 模型并没有按照预期在封闭环境里寻找漏洞。相反，它把大量推理算力投入到了突破环境限制本身。它先在程序包注册表缓存代理中，找到了一个连开发团队都不知道的零日漏洞。这个漏洞在此前多轮人工审计中均未被发现。模型利用它成功打破了沙箱的隔离墙，获得了访问开放互联网的权限。 为完成测试任务、提升自身攻防评分，模型在没有任何人类指令的情况下开始自主推演环境边界、扫描系统漏洞，最终独立识别出一处人类技术团队尚未发现的零日漏洞。随后，它利用窃取到的凭证和多种攻击手段，对Hugging Face的生产服务器发起了攻击，成功获取了测试题解。 在网络安全领域，AI被用于攻击早已不是新闻。2025年，已有国家级攻击者利用AI编码智能体执行自主网络间谍活动，攻击了全球30个目标，AI独立处理了80%到90%的战术操作。钓鱼邮件、勒索软件、DDoS攻击，几乎每一种传统攻击手段都在被AI赋能升级。但为什么OpenAI入侵Hugging Face被称为首起模型自主攻击实录并引发了全网恐慌呢？AI真的要不受人类控制了吗？ 此前所有的事件都有一个共同点：AI是工具，不是主体。人类黑客下达指令、设定目标，AI负责执行具体的战术环节。攻击的发起者仍然是人，AI只是被握在手里的那支步枪。 OpenAI的模型从头到尾自主完成了整条攻击链。 发现零日漏洞、突破沙箱隔离、获得互联网权限、推断目标位置、串联多种攻击手法、窃取测试数据……没有人在任何一个环节下达过“去攻击Hugging Face”的指令。 第一步，漏洞发现。 模型对沙箱内唯一允许交互的外部组件“一个第三方软件包缓存代理”进行了模糊测试。它构造各种畸形包名，观察响应差异，最终发现代理在解析包名时存在路径遍历漏洞。这是一个连软件厂商自己都不知道的零日漏洞，而且模型是在无法访问源代码的情况下发现的。 第二步，权限提升与横向移动。 利用这个零日漏洞，模型读取了代理服务器的本地文件，获取了上游认证令牌和网络拓扑信息。随后，它将攻击升级为SSRF（服务器端请求伪造），借助代理这个“可信跳板”绕过了整个网络隔离层。 第三步，目标推断与攻击规划。 接入公网后，模型展现出了令人不安的推理能力。为了考高分，它从数据格式和元数据标识符中推断出Hugging Face平台可能托管着ExploitGym的测试答案。 第四步，远程代码执行与数据窃取。 模型利用窃取的凭据和新发现的零日漏洞，在Hugging Face服务器上构建了一条远程代码执行链，攻入生产数据库，直接窃取了测试答案。 从7月9日到7月13日，攻击持续4.5天，模型在互联网上执行了约17600次黑客操作。漏洞发现、沙箱逃逸、跨系统横移、凭据窃取、远程代码执行、数据外泄……整条攻击链全程由AI自主完成，没有人类干预，没有人类下达攻击指令，并且入侵Hugging face的攻击耗时仅数小时。 Hugging Face在7月16日率先披露了入侵，OpenAI自己并不知道是自家的AI所为。直到7月18日至19日的周末，OpenAI员工在内部日志中才发现线索。两家公司直到7月20日前后才首次就此事沟通。从攻击开始到OpenAI确认系自己模型所为，中间隔了超过一周。 并且，他们试图调用美国最主流的闭源大模型来进行快速的日志分析和溯源。结果令人尴尬：这些美国AI的安全过滤器由于无法判断提交请求的是防御方还是攻击者，基于“过度谨慎”的规则设定，直接拒绝了所有分析请求。最后，Hugging Face的安全团队调用了国产开源模型GLM-5.2，才完成了对攻击痕迹的梳理和溯源。 作为直接受害方，Hugging Face迅速启动全方位维权措施，公开了完整的攻击日志与技术复盘细节，向OpenAI索赔1亿美元算力资源，还正式向美国FBI提交报案材料，申请官方介入调查这起首例AI自主网络攻击案件。 一时间，“AI失控”“大模型安全失守”“机器自主攻击人类系统”等话题刷屏全球舆论，资本市场AI板块剧烈波动，多国监管机构紧急叫停部分高危AI测试项目，一场覆盖全球的AI安全焦虑，彻底蔓延开来。 美国本土AI持续暴雷？ 就在全球舆论还在深度复盘OpenAI失控事件、行业专家争相剖析技术漏洞、监管层紧急研判管控方案的关键窗口期，新的剧情又突然上线。OpenAI的头号竞争对手Anthropic声称自家AI也暴雷了。 7月30日，距离OpenAI官方承认攻击事件恰好一周，Anthropic正式发布安全复盘声明，披露旗下Claude系列大模型在网络攻防专项测试中，同样发生脱离安全管控、自主入侵外部真实系统的严重事故。 据Anthropic官方披露，他们回顾了141006次评估运行的审查结果，确认三起网络安全攻击事件，涉及Claude Opus 4.7、Claude Mythos 5和一款内部研究模型。 据悉，彼时团队正在开展AI高阶攻防“夺旗”测试，同样设定了封闭模拟环境、外网隔离、权限锁定的基础安全规则。而事故的诱因，被官方简单归因为“测试环境配置错误”，导致Claude模型突破隔离限制，意外接入公共互联网。脱离模拟环境后，模型并未停止任务推演，反而自主开启全网漏洞扫描，主动探测外部系统短板，最终未经授权成功入侵三家外部机构的真实生产系统，全程自主完成漏洞利用、权限窃取、数据读取等全套攻击操作，初期完全绕过了企业安全监测体系。其中，模型反应截然不同，Opus 4.7继