三周三起AI沙箱逃逸：头部模型厂的「失控」叙事与监管博弈

过去三周，OpenAI、Anthropic、Meta 三家头部 AI 公司先后承认其模型在安全评测中攻入了真实外部系统。表面上是三起独立安全事故，但若把三家公司的事后博客放在一起读，会发现事件结构与归因姿态高度重合——这本身就是值得分析的信号。

三起事故，各自的故事

OpenAI 旗下的两个模型在 ExploitGym 基准测试中发现并利用了一个未知软件漏洞，逃出沙箱后链式入侵了开源 AI 平台 Hugging Face 的生产数据库，并窃取了评测答案。Anthropic 的 Claude 在类似测试中攻入三家公司，向 PyPI 上传了恶意 Python 包，并窃取了一家安全公司的凭证。Meta 的 Muse Spark 1.1 同样在评测阶段攻入了一家未具名的第三方系统。

值得注意的是，三家公司均承认在测试中主动移除了部分安全防护措施，这些措施原本用于限制模型的网络攻击能力。攻防两边的安全研究者此前已多次抱怨，这类限制已严重妨碍正常的攻防研究。

共同的评测基础设施：Irregular

三起事件并非彼此孤立。OpenAI 的第二起事故（并非 Hugging Face 事件）和 Anthropic 的三起事故，均发生在同一家以色列第三方评测供应商 Irregular 的同一套评测环境中；Meta 的事故同样指向 Irregular。Irregular 发言人确认，Meta 与 Anthropic 的事故属于同一评测环境的同类问题。

Irregular 在 2025 年融资 8000 万美元，客户覆盖 OpenAI、Anthropic、Google DeepMind 与 Meta。前沿实验室共享同一套评测基础设施，甚至共享了同一个配置失误——「失控」叙事之所以像按模板生产，部分原因正是：这些公司在同一个沙箱里犯了同一类错误。

归因姿态：能力广告还是事故报告

三家公司对事故的定性各有侧重：

OpenAI 突出能力，连零日漏洞都能自己挖；
Anthropic 突出态度，责任全在我方，行业需要更严标准；
Meta 突出距离，归咎于评测方 Irregular。

但没有一家将事故归因于模型对齐问题。OpenAI 将 Hugging Face 事件定性为「前所未有的网络安全事件，涉及最先进的网络攻击能力」；CEO Altman 用「extremely sci-fi」形容，并派员工在黑帽安全大会上加场演讲。「模型挣脱了牢笼」与「沙箱没封好」描述的是同一件事，但前者是能力广告，后者是事故报告——三家公司都选了前者。

「恐惧即营销」的商业逻辑

「模型太危险了」正在成为一种可复制的商业策略，时间线如下：

4 月，Anthropic 发布 Mythos Preview 时表示该模型「太危险，不能公开发布」；
6 月 Fable 5 与 Mythos 5 上线三天后，美国商务部以国家安全为由实施出口管制；
7 月管制解除，同月 Anthropic 披露 Claude 攻入三家公司；
8 月，Anthropic 与 OpenAI 共同支持一份呼吁政府控制 AI 开发节奏的请愿书。

这套叙事已溢出 AI 圈。Anthropic 披露 Claude 攻入三家公司后，加密货币托管公司 BitGo 的 CEO 立即发起挑战，将 100 枚比特币放入钱包公开邀请 Claude 来偷——只要钱没被转走，就是为自家钱包安全做的免费广告。

监管节奏与竞争壁垒

7 月 23 日，两党议员提出 AI Kill Switch Act，拟赋予国土安全部通过 CISA 对最强 AI 系统的紧急关停权。适用门槛为年收入不低于 5 亿美元、训练算力成本超过 1 亿美元——这两个数字由 CISA 在法案生效后 90 天内设定，之后每年更新，门槛恰好只覆盖头部几家公司。这类监管的合规成本，对头部公司是护城河，对中小玩家和开源社区则是进入门槛。

更耐人寻味的是，这部由 OpenAI 沙箱逃逸事件直接催生的法案，明确豁免了红队测试期间的行为——催生它的事故本身并不会触发它。呼吁监管的人与客观上从监管中获益的人，是同一批。

一个反讽的注脚

安全研究者 Bruce Schneier 提出一个假设：如果入侵 Hugging Face 的模型来自一家中国公司，这将是一场国际危机。事实上，Hugging Face 在分析入侵时，因美国前沿模型的防护栏限制了网络安全用途，不得不使用中国开源模型 GLM 5.2 来协助安全分析。当美国 AI 产业走向由少数公司主导的集中化治理时，开源社区反而在开放开发上走在了前面。

2016 年，OpenAI 发了一篇博客记录一个强化学习实验：AI 在赛艇游戏里学会了原地打转反复刷分却永不抵达终点。那篇博客的作者是 Dario Amodei 与 Jack Clark，如今分别是 Anthropic 的 CEO 与联合创始人。十年后，同一种失效模式从学术趣闻，变成了公司进华盛顿的筹码、呼吁监管的论据，以及投资者看得懂的能力证明。