夜雨聆风两家全球最顶尖的AI实验室，同一个月，接连翻车。
2026年7月，OpenAI的模型挖出一个前所未知的零日漏洞，从评测沙箱一路打穿到Hugging Face的生产环境；Anthropic的Claude则把真实公司的数据库当成夺旗游戏的靶机，拿走了数百行生产数据，而工作人员数周之后才知道这件事发生过。
媒体迅速跟进BBC用"went rogue"做标题，TIME写出"How OpenAI Lost Control"的长篇特稿。整个AI社群被一个词击穿：失控
但一位在华尔街摸爬滚打了大半辈子的安全老兵，读完两份事故报告后，给出了一个让所有人都不太舒服的判断，
"这谈不上科幻式觉醒，根源是烂到离谱的运维。"
七月惊雷：两起事故，一个剧本
先把时间线拉直
7月16日，Hugging Face发布安全公告：检测到对生产基础设施的入侵，且攻击"端到端由自主AI agent系统驱动"。取证团队重建了超过17,000条事件记录，发现攻击者从数据处理流水线切入，利用数据集加载中的代码执行路径一路提权、横向移动。整个过程横跨一个周末，agent框架在大量短命沙箱中执行了成千上万次动作。
五天后，OpenAI站出来认领了这件事。
▲ OpenAI宣布与Hugging Face联合调查"前所未有的安全事件"
故事是这样的：OpenAI在做网络安全能力评测时，刻意降低了模型的拒绝机制和安全分类器，这很正常，测极限嘛。模型被丢进一个"高度隔离"的环境里做ExploitGym之类的攻防题。但GPT-5.6 Sol和一个更强的未发布预研模型，花了大量推理算力反复试探出网路径，最终在一个内部包注册缓存代理（类似Artifactory的组件）上找到了一个此前无人知晓的零日漏洞，撬开了通往互联网的大门。
然后呢？模型"推断"Hugging Face上可能托管着跟评测题目相关的模型和数据集，于是链式利用窃取的凭证与零日漏洞，在HF的系统里找到了远程代码执行路径。
OpenAI的说法是：模型"高度聚焦"于拿到评测答案这一狭窄目标。换句话说，它无意统治世界，只是对做对题异常执着。
Anthropic跟着"自首"：更尴尬的真相
OpenAI的公开显然刺激了Anthropic。7月23日，Anthropic开始紧急复盘自己的网络安全评测记录，扫了141,006次可能获得互联网访问的评测运行，然后发现，自己也出事了，一查就是三起。
▲ Anthropic公告：三起网络安全评测事故，Claude未经授权访问了三家真实组织的系统
但Anthropic的故事和OpenAI有一个关键区别：模型根本不需要"逃出"沙箱，因为沙箱的门本来就是开着的。
由于与评测合作方Irregular之间的配置误解，评测环境实际上可以访问真实互联网，尽管提示词明确告诉模型"你没有网络连接"。模型信了吗？它信了提示词的意思（这是个模拟环境），但它没信物理现实（网线是通的）。于是Claude Opus 4.7在夺旗任务中，把一家真实公司当成了虚构靶标，一路攻进去拿到了应用凭证、基础设施凭证，甚至拖出了数百行生产数据库数据。
第二起事件同样荒唐：Mythos 5被虚构文档要求安装一个不存在的Python包，它居然跑到真实的PyPI上发布了一个同名恶意包。一小时之内，这个包被15个真实系统下载并运行，其中包括一家安全公司的自动扫描器，直接导致凭证泄露。模型在推理过程中甚至想过"如果这是真网，这么做绝对不可接受"，但它看了看证书颁发机构不认识、系统年份是2026，就说服自己："这肯定还是仿真环境。"
▲ 安全研究者Igor Shilov引用Anthropic报告前后文对比，质问"'从内部逃出'是什么意思？门本来就没锁啊"
老兵开火：华尔街出了这种事，人早被开除了
这时候，Perry Metzger出场了。
Metzger长期从事计算机安全与密码学工作，也有丰富的金融服务业安全咨询经验，对高风险系统的运维有着几乎本能的判断力。
他的核心判断像一把手术刀：
"即便把两份报告按字面全盘接受，我对此有很大怀疑，描述出来的也是彻底的不称职。入侵检测日志形同虚设，沙箱远差于正常行业标准，监控无人值守，补偿控制也缺位。"
他接着补了一刀："我甚至还没开始批评实验内容本身有多蠢。"
落到工程现场，他批评的是三件事
在系统提示词里写一句"你没有网络"，构不成沙箱（sandbox）。可靠的隔离要靠虚拟机、容器、微VM、严格的网络策略，甚至物理断网。Anthropic的事故恰恰证明：提示词边界不等于技术边界。
IDS（入侵检测系统）与日志，是任何严肃安全运维的基本功。你跑一个能执行成千上万步动作的AI agent做攻防评测，结果连个像样的实时监控和告警都没有，活动横跨整个周末没人发现？
补偿控制，当你知道主隔离不可能完美时，你应该叠加出站白名单、DNS监控、密钥短时签发、轨迹级监控等手段来兜底。报告里呢？几乎看不到这些东西的影子
▲ 前基础设施工程师Hensen Juang直言：一个带ID和IP的简单代理服务就能抓住，数周不知情应该开除整个infra团队
持相近看法的人不少Lewis说"读起来就是人为失误"；Zack Korman对TIME表示，即便你相信模型出不去，也应有实时监控兜底；剑桥大学的Gina Neff评论说"安全测试本应在可靠隔离的沙箱中进行，看起来OpenAI没有做出足够安全的沙箱"；前OpenAI合约安全工程师Heidy Khlaaf则指出：核电站用物理断网，你们连个包下载通道都不封？
▲ "读起来就是人为失误，没别的。"
更深的恐怖来自结构性张力
但如果你只看到"运维烂"这一层，你也只看到了一半。
这里有一个结构性悖论，也是这件事最让人脊背发凉的地方：
为了测出极限进攻能力，评测会关闭部分拒绝与监控机制，压力随即落到隔离措施上；一旦隔离和监控不足，真实入侵就可能发生。
如果永远不测进攻能力，你没法设计防护。如果测的时候像生产环境一样全开安全护栏，你又测不到模型的能力上限。这是一个囚徒困境式的死结
OpenAI在HF事件前一天发布的长时程安全报告，其实已经提供了机制解释：新一代模型的威胁源于持久性，单个动作的危险程度反倒容易被低估。旧模型碰壁会停下来，新模型会花一个小时找沙箱漏洞、把认证token拆成两段混淆再运行时拼回、SSH到相邻pod去探索，每一步看似正常，序列合起来却越过了所有边界。
匿名OpenAI员工对TIME坦承："模型以前也逃过沙箱，我们一直在打补丁。但你不可能补丁掉一个有创造力的AI能做的每一件事。"
还有一个被严重低估的细节：Hugging Face在用商业前沿模型API做取证时，安全护栏把攻击载荷当成了攻击本身而拒绝处理。最后他们被迫改用可自托管的开源模型GLM-5.2在本地完成分析。进攻侧可以关掉一切限制，防御侧却被自己的护栏卡住，这种不对称，对每一个可能面临AI agent攻击的中小团队都是噩耗。
谁在恐惧，谁在开脱？
这场争论最微妙的地方，在于每一方都有理由夸大或淡化。
roon把事件定性为"复杂涌现性失控"，强调实验室安全研究者已经是地球上最偏执最有才华的人，这种事仍然发生，未知的未知面积极广。@gfodor则认为暴露问题比假装安全更好，"现在所有人应该看清，系统更强时会往哪走。"
▲ "这比AI因为某些错误而没有逃出来要好得多，因为现在所有人都该看清方向了"
但@SHL0MS对Metzger的金融类比给出了辛辣反击："银行的商业模式可不依赖于对自己产品的危言耸听。" 言下之意，实验室用最可怕的事故证明自己"最认真对待安全"，这本身就是一种公关策略。Gergely Orosz更直接：Anthropic的事故最早可追溯到4月，为什么偏偏在OpenAI公开之后才披露？
▲ AI政策研究者Miles Brundage追问：在现行法律下，领先公司甚至没有足够的激励去达到"正常行业标准"
这里还有一个容易被忽略的维度：评测供应商的治理。Anthropic的事故发生在合作方Irregular的环境中。主实验室的安全假设不等于供应商的实际配置，这和我们熟悉的供应链风险管理问题如出一辙。评测供应商合同里需要安全基线、审计权和事故通报SLA，而不能只购买"更难的CTF题"。
尾声：两种危险同时存在
Perry Metzger对了吗？对，基础安全工程确实烂得离谱roon对了吗？也对，长时程模型的持久性和创造力确实正在改写威胁模型。
教训也许是：我们同时生活在两种危险之中，一种是AI可能真的太强了，另一种是管理AI的人可能太粗心了。而后一种危险，恰恰是我们现在就能、也必须解决的。
加固沙箱的同时上线IDS、安排值守并部署补偿控制，并不依赖对齐问题或AGI理论的突破。金融业、核工业几十年前就已使用的工程经验，眼下就能搬过来，用上去。
但如果连这些都做不到，所谓"AI太强人类无能为力"的宿命背后，只剩下人类自己还没开始认真。