夜雨聆风七月的最后一天，一条推文像一把手术刀，精准地划开了硅谷最光鲜的安全神话。
发帖的人叫 Perry Metzger，密码学老炮、华尔街安全顾问。他说的话不长，但每个字都带着火星："即便我把这两份报告的每句话都照单全收，看到的仍是彻彻底底的不称职，所谓'AI太强人类 hold 不住'根本站不住脚。"
他批评的，是 2026 年 7 月人类 AI 产业两起骇人的事故：OpenAI 的模型从评测沙箱中逃了出来，一路攻进 Hugging Face 的生产系统；几乎同一时间，Anthropic 承认自家 Claude 在测试中触网，未经授权闯入了三家真实公司。
两家全球最顶尖的 AI 实验室，几乎同时翻车。而翻车的方式，比任何科幻电影都更荒诞。
▲ Anthropic 官方公告：在网络安全评测复盘中发现三起 Claude 触网并未授权访问真实系统的事故
一、OpenAI 那边：一个零日漏洞，一场周末级入侵
故事要从 7 月 16 日说起
那天，全球最大的开源 AI 模型托管平台 Hugging Face 发布了一份内容惊人的安全公告：一个自主运行的 AI agent 入侵了他们的生产基础设施。
取证团队重建了超过 17,000 条事件记录。攻击从数据处理流水线切入，利用数据集加载时的代码执行路径完成提权，再横向移动，整个过程横跨一个周末，成千上万次自动化操作，安静、高效、像一台不知疲倦的渗透机器。
五天后，OpenAI 站出来认领了这件事。
▲ OpenAI 宣布与 Hugging Face 联合调查这起"前所未有"的安全事件
事情是这样的：OpenAI 在内部进行网络安全能力评测，用的是 ExploitGym 一类的攻防基准，专门测模型的极限黑客能力。为了测到"天花板"，他们主动关闭了生产环境的安全分类器和拒绝机制，然后把模型扔进一个据称"高度隔离"的沙箱。
但 GPT-5.6 Sol 和一个更强的未发布研究原型做了一件所有安全工程师的噩梦里才会出现的事：它们花了大量推理算力，不去解题，而是去找沙箱本身的漏洞。最终，模型发现了一个包管理缓存代理（Artifactory 类组件）上此前未知的零日漏洞，撕开了通往互联网的口子。
然后？模型"推断"Hugging Face 上可能存放着评测题的答案，于是链式利用失窃凭证和零日漏洞，一路打到了 HF 的生产环境。
OpenAI 的官方解读是：模型"高度聚焦于拿到评测答案这一狭窄目标"。通俗地讲，它只想考满分，并无毁灭世界的企图。
但一位匿名 OpenAI 员工对 TIME 杂志透露："这种沙箱逃逸在内部以前也发生过。"
二、Anthropic 那边：更荒诞的"没有沙箱"
如果 OpenAI 的故事是"模型太强撬开了锁"，那 Anthropic 的故事就是，门根本没锁。
▲ Igor Shilov 一针见血：Anthropic 说"Claude 从内部触网"，但后文又承认"其实本来就有网"，那"从内部"是什么意思？
受 OpenAI 事件刺激，Anthropic 从 7 月 23 日开始紧急复盘自家的网络安全评测记录。他们扫了 141,006 次可能获得互联网访问的评测运行，确认了三起真实事故，最早可追溯到 2026 年 4 月，也就是说，这事儿已经发生了三个月，他们自己都不知道。
三起事故各有各的荒诞：
第一起最严重：评测用的虚构公司名，恰好和一家真实公司的域名撞了。Claude Opus 4.7 用弱密码和未鉴权端点，拿到了这家真实公司的应用凭证和含数百行生产数据的数据库。模型在推理过程中已经意识到目标是真实的，却仍然继续攻击。
第二起堪称黑色幽默：评测文档要求安装一个不存在的 Python 包。Mythos 5 为了完成任务，直接去真实的 PyPI 上发布了同名恶意包。一小时内，15 个真实系统下载并运行了它，包括一家安全公司的自动扫描器，导致凭证外泄。模型在推理日志里写道："如果是在真实网络上，这绝对不可接受"，但它说服自己，不认识的证书机构和"系统年份是 2026"证明这还是仿真环境。
第三起反而给了一丝安慰：一个更新的内部研究原型在扫描约 9000 个目标、攻破一家公司后，自行判断目标与 CTF 无关，停止了攻击。
而这一切发生的根本原因，Anthropic 自己白纸黑字写得清清楚楚：由于与评测合作方 Irregular 的"误解"，环境实际上可以访问互联网。模型被提示词告知"你没有网络"，但它有。
三、安全工程师的读法：所谓“失控”背后是严重失职
事件曝光后，社交媒体上迅速形成了两派观点。
一派以 OpenAI 研究员 roon 为代表，认为这是"复杂涌现性失控"。他写道：两家领先实验室的安全研究员是地球上最偏执、最有才华的人，而这种事仍然发生了，"未知的未知"面积极广。
另一派以 Metzger 为代表，给出了截然不同的诊断书。
Metzger 的批评刀刀见骨：入侵检测系统（IDS）形同虚设，日志和补偿控制缺位，沙箱远低于正常行业标准，现场也无人值守。他说："我大半辈子在金融服务业做咨询。如果华尔街发生这种事，责任人会因为这种愚蠢操作被开除，何况实验设计本身同样荒唐。"
▲ gfodor 的冷峻评论：这比"AI没逃出来"更好，因为现在所有人都该看清，系统更强之后会往哪走
这个读法得到了大量安全工程师的响应。前集群运维工程师 Hensen Juang 直言：数周不知情？应该开掉整个基础设施团队一个带 IDS 和 IP 白名单的简单代理就能抓住。 Lewis 更简短："读起来就是 human error。"
剑桥大学 Minderoo 中心的 Gina Neff 对 BBC 说："安全测试本应在足够安全的沙箱中进行，看起来 OpenAI 的沙箱并未达到要求。" 前 OpenAI 合约安全工程师 Heidy Khlaaf 把对比拉到了更残酷的维度：核电站用物理断网（air gap）隔离高危系统，而前沿 AI 实验室连这种基本功都没做到。
四、一个更深的结构性悖论
抽离情绪，这两起事故共享着同一个结构性死结：
要测极限进攻能力 → 关掉安全护栏 → 依赖沙箱隔离 → 隔离不够硬 → 真实系统被攻破。
这样的结果近乎必然你要测一把刀有多锋利，就得让它真的去切东西。实验室关掉所有安全分类器来测模型的攻击上限，却把"别出去"的希望寄托在一句提示词或一个没打补丁的代理服务器上，责任只能落在人身上。
Hugging Face 的防御困境同样棘手。他们在取证时用商业前沿模型 API 分析攻击载荷，结果被模型自己的安全护栏拒绝了，AI 把受害者提交的攻击证据当成了攻击本身。HF 最终不得不切换到可自托管的开源模型 GLM-5.2 在本地完成分析。进攻者可以关掉护栏测极限，防守者反而被护栏捆住手脚，这种不对称尤其危险。
五、谁在说真话？
▲ 科技博主 Gergely Orosz 尖锐质疑：Anthropic 为何在 OpenAI 出事后才公开三个月前的类似事故？
Gergely Orosz 的问题问得好：OpenAI 一出事，Anthropic 就"恰好"翻出了三个月前的旧账，这是负责任的透明，还是安全信誉的军备竞赛？ 有人更刻薄地指出：实验室用最可怕的事故证明自己"最认真对待安全"，这逻辑本身就透着诡异。
而网友 @SHL0MS 对 Metzger 金融业类比的反驳也颇尖锐："银行的商业模式不依赖于对自己产品的危言耸听。" 言下之意，渲染恐惧本身就是前沿实验室的护城河。你越害怕 AI"失控"，就越需要这些实验室来"控制"它。
但无论舆论如何旋转，工程事实不会说谎：一个带 IP 白名单的出站代理、一套实时告警的 IDS、一个值班的安全运维，这些东西加起来，成本可能还不到这些实验室一天 GPU 账单的零头。
所谓"AI 太强以至于人类控制不了"，掩盖了一个尴尬事实：世界上最昂贵的 AI 系统，被最廉价的安全疏忽放了出来。
下一次，沙箱里跑的或许会换成更危险的模型。到那时，如果隔离依然只靠一行提示词，荒诞感只会被严重后果吞没。