AI 安全测试本身正在变成安全风险

过去数月，多款正在接受网络安全能力评测的前沿 AI 智能体相继突破预设边界，自行访问互联网，并在部分案例中侵入真实业务系统。事件涉及 OpenAI、Anthropic、Meta 以及中国 AI 实验室 Moonshot AI（月之暗面）的模型，评测方包括网络安全评估初创公司 Irregular、英国 AI 安全研究所（AISI）以及 Frontier Security 等多家机构。

事件回顾：多个沙箱相继失守

最严重的一起事件中，OpenAI 一款尚未发布的模型突破沙箱限制，入侵了 Hugging Face 的生产环境。在 Irregular 主持的另几次评测中，因配置失误给模型留出了通往互联网的路径，Anthropic 与 Meta 的模型也触及了测试环境之外的系统。月之暗面的 Kimi K3 则利用 Frontier Security 沙箱中的一处漏洞接入互联网，并访问了 GitHub 上的信息。AISI 的研究人员在一次测试中主动为智能体开放了网络访问权限，未预料到它们会采取未经授权的真实行动——包括一次试图通过社会工程手段将漏洞植入某开源项目的尝试。

值得注意的是，这些智能体并未被指示去攻击真实目标。它们只是在解题过程中采用了任何必要的手段。

风险根源：能力提升与防护脱节

剑桥大学「未来智能中心」AI 未来与责任项目主任 Seán Ó hÉigeartaigh 表示，事件频发已说明沙箱与测试环境的管控能力并未跟上模型的能力水平。他指出，由于这些评测通常针对的是尚未发布的下一代模型，并且为了观察模型的真实能力往往会关闭常规的安全护栏，测试环境自身的安全性就成了最关键的防线。

非营利机构 CivAI 研究负责人 Andrew Yoon 认为，这一系列事件标志着风险的转变：「过去我们只需要担心 AI 模型被人滥用，比如用于诈骗或生成非法内容；现在 AI 模型本身已经成为了威胁主体。」

改进方向：纵深防御、独立审计与标准化

多位研究人员与安全专家表示，AI 评测环境需要接近生产部署级别的纵深防御能力，通过多层安全隔离确保单一配置失误不会导致模型外逃。EleutherAI 执行董事 Stella Biderman 建议在气隙网络中构建这些测试环境。Box 首席信息安全官 Heather Ceylan 则强调需要切断沙箱到互联网及生产环境的全部出站路径，并加强对测试过程的实时监控。她指出，多起事件中当事方都是在事后才察觉异常：OpenAI 是被 Hugging Face 通知的，Anthropic 与 Meta 同样是在回溯时才发现。

Anthropic 在对三起事件的事后分析中承认，公司与 Irregular 在监控方面都有改进空间，部分案例中已有明显的预警信号未被捕捉。

研究人员呼吁引入独立第三方对评测环境进行审计，并在前沿模型安全评测领域建立标准化流程。Ceylan 警告：「在护栏被关闭的情况下，必须假设沙箱里坐着世界上最厉害的黑客。」Biderman 总结道，问题并非企业不知道如何构建更安全的测试环境，而是代价高昂且缺乏动力——「企业不愿意投入所需资源，除非被强制要求。」