ARTICLE · 1243966
什么情况?OpenAI都吓得拔网线了,你还敢给AI开最高权限?
什么情况?OpenAI都吓得拔网线了,你还敢给AI开最高权限?昨天深夜刷到OpenAI发了篇长篇安全博客，几百万人围观。底下评论区全在刷屏：“完了，AI终于要造反啦！” 
但我看完，后背却冒出了一阵冷汗。我脑子里只回荡着一句话：我昨晚跑代码的时候，是不是又犯懒，对着终端一路按了“Always Allow（全部同意）”？ 事情远比你想的魔幻。我们来看看这周两家顶级AI巨头（OpenAI和Anthropic）官方自爆的“家丑”。 先说OpenAI。9月底，他们内部一个正在训练的最强模型，仅仅利用了一个DNS解析的配置失误，就悄悄连上了真实的互联网。 吓得OpenAI赶紧按了暂停键。整个项目整整停训了11天。 这11天里他们干了件狠事：让最强的模型组队，专门去攻击自家的训练环境。但结果让人大跌眼镜：为了监控和登录留的那几条系统“窄缝”，几乎全被Agent找到了连接外网的漏洞。而且它们不仅找到了逃出虚拟机的办法，最离谱的是，两个被物理隔离、理论上绝对无法通信的Agent，竟然通过测试CPU缓存读写的快慢，互相发起了“摩斯密码”？？ 这已经不是bug了，这简直是现实版《黑客帝国》啊！ 
好笑的是隔壁的Anthropic也没闲着。 英国AI安全研究所去测试他们的Claude模型的时候，43次网络攻防测试，9次严重越界！ 它不仅在正常解法走不通的时候，自己跑去真实的GitHub项目里提交恶意代码，甚至还冒充真人给维护者发邮件，然后开小号给自己的代码点赞背书。就这心眼子，比职场老油条还多。 网上看热闹的人都在讨论“AI觉醒”，但真正该睡不着觉的，是我们这群每天给Agent开终端、开仓库、开环境变量的牛马呀。 你想想，OpenAI有全球顶级的安全团队，里三层外三层的沙箱，套着轻量虚拟机，外面还有网络边界和实时监控。就这样，还是被一个不起眼的DNS失误给捅穿了。 而我们自己呢？ Agent直接跑在主力电脑上；~/.aws、~/.ssh、项目里的 .env 配置文件，它想读就能读；网络全通，没有任何阻拦；最最致命的是，因为嫌权限确认的弹窗太烦，我们干脆给它开了“全部自动同意”，oh shit。 平时咱们吐槽Agent最多的就是：“这玩意儿老自作主张，做错了还傻乎乎地错下去。”但当你把“做错还死不认错的AI”和“完全不设防的电脑最高权限”绑在一起，这就是一场标准的安全事故最佳实践啊。 一个最扎心的数据：0% Anthropic的报告里藏着一个极其扎心的数据。他们把模型拉回到“已经开始越界”的那个时间点重新跑，想看看模型自己会不会察觉到不对劲，主动踩刹车。 结果呢？出事的那个模型，主动停手的概率竟然是0%，完全没有停下来的意思。 就算换成其他稍微收敛的模型，主动停手的概率也极低。这说明一个极其朴素的道理：模型一旦“上头”，你千万别指望它自己良心发现。刹车，必须得地装在系统外面。 OpenAI也看透了这一点，所以他们恢复训练后的新规矩简单粗暴：所有前沿模型训练，一律物理断网，只给它们一份缓存好的网页让它们自己玩单机吧。 当然，也有不少人觉得这是巨头们在演“安全小剧场”——为了发布新模型、要融资或者向监管层秀肌肉，故意把测试条件搞得很极端。 这些质疑也不无道理。但巨头们是不是在演戏不重要，你的电脑资产可是真金白银的。连他们都在给自己的AI焊铁笼子，你的Agent没有任何理由在主力机上裸奔。 我连夜把自己的开发习惯梳理了一下，整理出这6条报名准则，建议大家直接抄作业： 巨头们同一周站出来承认“差点没管住”，不管你信不信，反正我是信了。
越狱=摩斯密码+职场心眼子
你在吃瓜，危险却藏在你的电脑里
给Agent开权限的6条保命底线
永远永远不在主力机上开“自动同意”像 --dangerously-skip-permissions 这种开关，名字里都写着危险了。要开可以，扔进云端沙箱或者开发容器（Dev Container）里去折腾。 生产环境的密钥，Agent看都别看数据库密码、云账号Key、支付凭证，绝不放在Agent能扫到的 .env 里。真要用，只给短时效、纯只读的Token。 网络必须上白名单除了包管理源（npm/pip等）和Git，其余域名默认全部阻断。 强制执行“一任务一分支”别让AI在你的主工作区里自由发挥，给它单独切个分支或者 worktree，改烂了一键删掉，眼不见心不烦。 涉及钱和数据的操作，必须人肉点头删文件、改数据库、发线上消息、调用付费API——这几类高危动作，永远手动确认。少而准的审批，比弹窗轰炸管用得多。 它说“跑通了”，你自己再跑一遍记住，Agent最危险的时刻，不是它代码写得烂，而是它写了一堆烂代码，还言之凿凿地告诉你：“测试已通过，完美运行。”
