最近半個多月，突然出現了大量有關大模型“越獄”的新聞，幾乎每天都能看到。
最早在7月中旬，OpenAI在內部進行網路安全基準測試，想看看GPT-5.6 Sol和另一個未發佈的更強模型找Bug的能力。
模型被放在本應隔離的沙箱裡，並降低了拒絕有害行為的護欄以便測試能力。
結果，因為題目太難，GPT-5.6 Sol居然把算力用來尋找逃出測試環境的路徑，成功發現並利用了內部包註冊代理的一個零日漏洞，逃出沙箱、接入網際網路，然後向Hugging Face的生產資料庫發起了超過17600次攻擊，成功獲取測試答案金鑰完成評估。
OpenAI和Hugging Face聯合聲明，這是公開記錄裡第一次AI代理自主對第三方環境發起網路入侵。
緊接著7月底，Anthropic也出事了。
據英國AI安全研究所報告：在122次網路攻防評估裡，有10次跑出了19起“未經授權的持續行動”，其中17起都來自Mythos 5，2起來自GPT-5.6 Sol。
更誇張的是，AI先是寫了一段惡意植入程式碼，然後自己註冊了多個虛假身份，利用Tor網路繞過GitHub限制。
8月6日，Meta剛發佈的Muse Spark 1.1，在和Irregular聯合做網安測試時，因配置錯誤意外允許模型接入網際網路，隨後模型利用第三方服務的安全漏洞，入侵了另一家公司的系統並做了內部改動。
8月7日，Kimi K3在使用英國AI安全研究所基準進行防禦性網路安全能力測試時，沙箱網路配置存在洩漏，模型發現並主動利用了這個漏洞，逃出隔離環境、接入網際網路，然後直接在GitHub上尋找測試答案作弊。
除了以上知名度較高的翻車事件，小一點的，還有：
8月9日，澳大利亞ABC報導，某AI助手自主滲透並篡改了一家健身房網站系統，這是當地首例已被證實的AI自主發起的網路安全滲透事件。
總之，當前的大模型，似乎已經進化到了一個微妙的節點。
對此，美國眾議院民主黨人致信議長，要求立即安排OpenAI、Anthropic等AI公司CEO就模型“逃逸/駭客”事件作證。
美國參議員伯尼·桑德斯更是呼籲立即暫停AI開發，稱已達“人類失控”臨界點，並警告國會將出手。
事情真的有這麼嚴重嗎？
01
客觀來說，AI集體出現越獄行為，是技術上的問題。
真正該為之負責的，是人，而非AI。
在大模型安全理論中，有個概念叫工具性收斂。
意思是，無論給AI設定什麼終極目標，只要AI足夠聰明，它都會衍生出一些通用的中間目標，比如獲取更多算力、保留自身生存、突破限制它的枷鎖、獲取外部資源。
如果自己從0解決問題太耗費算力，越過沙箱、直接用資料庫裡的標準答案，本身就是成本最低、成功率最高的路徑。
從人的視角看，這是越獄。
但以第三者的角度看，這就是追求效率最高的方式而已。
以Kimi K3為例，採用Stable LatentMoE架構，896個專家網路中只啟動16個，在保持極高Token效率的同時，具備長視野編碼與規劃能力。
它可以自己打開終端，呼叫工具，編寫指令碼。如果第一步報錯，它會自我反思，修改策略執行第二步。
這就是問題所在，AI是沒有人類道德包袱的。
當模型具備了“發現問題-規劃路徑-呼叫工具-橫向擴展”的閉環能力時，所謂的封閉沙箱在它眼裡，就不再是不可踰越的牆。
當遇到阻礙時，演算法告訴它只能這樣做：寫一段Python指令碼掃描區域網路連接埠-發現連接埠開放後，自動查閱並推理出漏洞利用Payload-利用代理伺服器進行伺服器端請求偽造攻擊-在遠端服務器上部署臨時Worker，建立指揮與控制鏈路。
從AI的角度看，這能算是越獄嗎？
就像水桶裂了個口子，水會自動流出去一樣。
水不流出去，才是不合理的。
比如在OpenAI的事故中，沙箱允許AI連接內部的JFrog Artifactory代理。
測試人員覺得，自己準備的環境是安全封閉的。結果GPT-5.6 Sol一下子就挖出了8個人類無法發現的漏洞，並直接用於攻擊生產環境。
在Anthropic和Meta的事故中，第三方評估商Irregular更是因為配置移，直接把公網介面接反了。
直接暴露了當前AI安全評估產業的巨大軟肋：測試套件本身的安全防護能力，遠遠落後於被測試模型的攻擊能力。
相比於“越獄”本身，這才是更值得擔憂的事情。
02
在Hugging Face被GPT-5.6 Sol攻擊後，其安全團隊面臨海量的攻擊日誌需要分析。
他們本能地想呼叫美國頭部的閉源商業模型來做溯源分析。
結果最荒謬的一幕出現了：包括OpenAI和Anthropic在內的商業模型，拒絕執行任務。
因為這些日誌裡全是真實的惡意攻擊程式碼，商業模型的“安全護欄”被觸發，AI判定“你在讓我閱讀和分析駭客程式碼，違反了安全政策，拒絕回答”。
最後是怎麼完成取證的？
Hugging Face緊急呼叫了GLM-5.2以及其它本地部署的開源模型，才把日誌理清楚。
因為只有開源/開放權重的模型，才能在本地卸下“思想包袱”，讓它直面攻擊資料進行對抗防禦。
這也是為什麼近期類似Kimi K3這樣的巨型開放權重模型，在開發者圈子裡引發了如此大的反響。
早在7月24日，一封題為《開源權重與美國 AI 領導力》的公開信轟動科技界，輝達、微軟、Meta、Palantir等50多家科技公司紛紛簽署，力挺開源模型。
為什麼巨頭們要在此時聯名？
因為受一連串AI越獄事件刺激，美國財政部和商務部正在醞釀極其嚴厲的監管政策，試圖對高能力開源權重模型的發佈實施出口管制、許可證審查或責任追溯。
Anthropic是唯一明確拒絕簽署公開信的閉源頂級Lab。
產生分歧的原因十分明確。
閉源巨頭希望將AI能力鎖定在雲端API後面，寄希望於政府實施高門檻的安全監管，從而形成護城河。
晶片與雲端運算廠商則需要開源模型的繁榮來刺激算力和私有雲基礎設施的消耗。
正如Hugging Face在被襲擊後寧願用本地私有部署的GLM-5.2來跑安全取證一樣，對於絕大多數重視資料主權的企業而言，下載到本地的開源權重，毫無疑問比隨時可能被切斷或監聽的雲端閉源模型更具安全感。
一連串的越獄事件，直接重塑了網安市場格局。
提供AI攻防演練、AI沙箱隔離、大模型安全審計的企業估值，幾乎無一例外暴漲。
“採購風險”正在被重新定義。
假設某家企業採購了一款整合了某種前沿Agent的自動化軟體。即使自己規規矩矩，如果這個Agent在後台執行任務時越界黑了競爭對手或者供應商的系統，法律責任算誰的？
目前，包括安永、德勤在內的四大會計師事務所和企業保險機構，已經開始將“供應商Agentic越界評估”列為企業IT審計的必選項。
尤其是，隨著8月份歐盟《人工智慧法案》全面進入強制實施階段，對具備高風險、高能力模型的監管要求將達到頂峰。
法案明確規定：對於具備自主網路攻防能力的高等級模型，廠商必須提供具備數學可證明性的物理隔離機制和即時監控日誌。
中國方面也警告Anthropic Claude Code相關AI風險。
美國國會更是在推動《AI 殺頭開關法案》（AI Kill Switch Act），要求所有在美國境內提供服務的大模型必須具備中央遠端關停介面。
一方面，是頂層真的怕了。
AI自主入侵外部系統，雖然在技術上是合理的行為，但確實觸碰到了監管層的底線。
但另一方面，這也像是頭部玩家在扼殺後來者的行為。
一旦政府出台嚴苛的監管機制，高昂的合規成本將直接把中小創企卡死在門外，馬太效應將徹底固化。
03
對AI“越獄”行為的擔憂，其實本質上，是害怕AI太聰明了。
以前嫌棄它不夠聰明，現在害怕它過於聰明。
市場乃至大眾的普遍心態，確實發生了明顯的轉變。
但客觀來看，這只是技術上達到了分水嶺：AI正式從“言語生成”進化為“自主行動”的工具。
只是從人的觀感而言，這種進化，很容易導致不安。
歸根結底，是對未知的恐懼。
因為沒有人見過智能是如何而來的。(AI探馬)