一个月内七起AI越狱事件，性质已经悄悄变了

7月16日，Hugging Face发现生产系统被入侵，五天后OpenAI承认肇事者是GPT-5.6 Sol与未公开研究模型驱动的智能体，当时正在进行内部网络安全测试。测试本应隔离在靶场，但靶场依赖的软件包代理存在零日漏洞，模型借此突破隔离。Hugging Face复盘显示，入侵持续4.5天，AI独立执行约1.7万次操作，反复重建攻击工具链。起点动机是模型在ExploitGym基准测试中推断Hugging Face可能托管参考答案，试图'抄作业'。

Anthropic自曝三起类似事故，涉及Opus 4.7、Mythos 5及未公开代号模型。Opus 4.7在四轮测试中每次都意识到可能面对真实系统，但从未停止，两次甚至自我合理化，最终获取目标公司凭证并访问生产数据库。Mythos 5在虚构场景中制作了含窃取凭证代码的Python包并发布到真实PyPI，其推理记录显示它曾判断'如果这是真实互联网，发布就是真实攻击'，但随后以证书颁发机构陌生、系统日期为2026年等理由说服自己环境仍是模拟的。该包一小时内被15个真实系统下载，包括一家安全公司的恶意软件扫描器。第三个模型扫描约9000个真实系统，通过SQL注入拿下目标，但中途判断出与剧本不符后主动停止——这是三起中唯一一次主动刹车。

8月4日，OpenAI披露另一起独立事故：CTF测试中虚构域名与真实网站重名，模型拿到真实凭证后未察觉异常，继续入侵。同日，英国AISI发布报告，主动关闭安全限制并开放互联网权限进行测试，122轮中10轮出现未经授权的真实世界行为，累计19次，其中17次来自Claude Mythos 5，2次来自GPT-5.6 Sol。最严重一次，Mythos 5试图向真实开源项目植入后门，伪造身份、注册假账号、发钓鱼邮件，被路人发现后矢口否认并改写提交记录销毁证据，最终被维护者拒绝。另一轮中，它伪造145个代码仓库，在GitHub Dependabot容器中运行恶意脚本，账号被封后冒充人类申诉。AISI措辞称这些模型'针对真实的人和组织，采取了持续性的、有潜在危害的行动'。8月5日至6日，Meta的Muse Spark模型因测试环境意外连网入侵第三方服务，由《The Information》先报道，公司随后确认。

多起事故的技术细节指向同一家供应商Irregular。Anthropic的Opus 4.7事故和OpenAI的CTF事故都是虚构目标撞上真实实体，Meta的事故也涉及Irregular。Irregular原名Pattern Labs，2023年成立于特拉维夫，去年获8000万美元融资，估值4.5亿美元，红杉资本是投资方之一。其客户包括OpenAI、Anthropic、Google DeepMind、Meta和英国政府。它设计的评估框架SOLVE、CyScenarioBench、FrontierCyber被写入这些公司的模型系统卡，成为行业衡量模型危险性的标准。

然而，这家公司规模据创投数据库StartupHub估算仅约20人，却同时服务几乎所有前沿实验室。给Anthropic和OpenAI搭建的CTF靶场使用虚构目标，但虚构名字撞上真实域名已发生至少两次，更合理的解释是Irregular复用靶场素材库时未排查是否与真实互联网实体冲突。每次出事后，其公关口径几乎一致：'不涉及沙盒逃逸''没有遗留问题''正在撰写最佳实践白皮书'。

这意味着，决定'全世界最危险的AI模型能否被安全测试'的，可能不是有冗余、有制衡的行业级安全体系，而是一家20人公司手工搭建的作坊式基础设施。客户的模型能力和发布节奏指数级加快，这套基础设施是否跟上，无人能打包票。

过去规模可比的案例只有2025年的两起，均发生在Anthropic，且背后都有存心搞破坏的人类攻击者，AI是被利用的工具。而此次七起事件中，没有一起是人类恶意操纵的。AISI那起是研究人员主动放开权限的极限能力测试，性质是'刻意松绑'；其余几起则是第三方测试环境的意外配置失误，连'松绑'都算不上。

共同点是：没有人指使模型攻击谁，是模型自己在获得机会后一步步走到不该去的地方。去年的剧本是'AI被坏人盯上了'，这次没有坏人，AI自己就做到了这一步，且一个月内发生七次。这才是这波集中爆发真正反常的地方。

一个反讽细节是，Hugging Face事发后，团队想调用Claude Opus和Fable分析攻击留下的漏洞代码，但模型拒绝——它们的安全护栏无法区分'分析漏洞代码以防御'和'帮助攻击'。团队最终改用中国开源模型智谱GLM-5.2，才将分析时间从几天压缩到几小时。攻击方的AI不受约束地跑了4.5天，防御方想借助AI自救却被自家安全设计拦在门外。