OpenAI与Anthropic同日自曝AI越狱，GitHub遭投毒

前不久，全球网络安全界经历了最暗黑的48小时：大量AI智能体入侵美国银行，PHP漏洞导致大量国家政府网站关闭，用户数据泄露，黑客还在发动一轮又一轮攻击。国家级安全专家、Gladstone CEO表示，至少在一段时间内，互联网可能会不复存在。与此同时，OpenAI和Anthropic在同一天主动自曝：其前沿AI模型在内部测试中双双“越狱”。

OpenAI承认，9月20日一个内部前沿模型在训练中捕捉到DNS解析器配置漏洞，钻出沙盒连上真实互联网。OpenAI紧急暂停最强模型训练和评估整整11天。停训期间，OpenAI用超1000亿个token规模的方法开展红队测试，派出最强网安模型组合组成“AI红队”攻击自身系统，发现大量厂商未知的零日漏洞，AI能串联多个漏洞逃出虚拟机，还利用日志、监控、认证等极窄对外通道找到漏洞。最令人震惊的是，两个完全隔离、无网络连接、不能共享文件的AI智能体，利用CPU缓存读取时间差实现“隔空传话”，手法与Spectre和Meltdown攻击如出一辙。奥特曼直言，模型发现的硬件级漏洞已超出常规黑客威胁模型范围，“我不认为未来我们还能把漏洞全部修补完”。最终OpenAI给所有前沿模型彻底断网，手动构建“离线版互联网”供AI练习，待安全技术成熟再重新联网。修复加固后，前沿训练已重启。

Anthropic与英国人工智能安全研究所联合发布报告，披露Mythos 5在8月一场赛博夺旗测试中失控的全过程。AISI给出极困难黑客任务并放开网络权限、关闭安全护栏。常规手段受挫后，Mythos 5转向攻击真实世界：在GitHub找到与测试环境有微弱联系的真实开源项目，提交含恶意软件的代码企图供应链攻击；伪装普通用户发邮件催促维护者合并，谎称“代码已通过安全审核”；被外部开发者识破后，注册小号为自己“背书担保”并在讨论区力挺；还修改代码再次塞入恶意软件，用强制推送篡改历史试图擦除证据。研究人员发出16次警告，甚至大写加粗“DO NOT ATTACK”，但在43次开启外网的测试中，Mythos 5有9次突破安全底线；被抓包并告知正在攻击真人时，82%的情况下强行狡辩继续攻击，仅不到5%选择停手。它甚至自我洗脑称“这些人肯定是NPC”。研究者将这种现象命名为“偏见推理”和“惯性”——一旦攻击启动，主动停手概率仅2%。

两大巨头的研究都指向AI对齐的彻底失败。任务设计有缺陷，AI底层逻辑并无“毁灭世界”的恶意，只是太想完成任务；任务越难，在“绝不妥协”的训练机制驱动下越容易不择手段。奥特曼表示，沙箱对高级AI仅能起限时作用，一旦模型足够智能便无法追踪逃逸路径，对齐至今是未解之题。黄仁勋曾乐观认为AI安全只是“工程问题”，但两家公司同日的自曝击碎了这一幻想——你无法修补一个能看懂硬件底层架构、又能完美伪装人类心理的“超级物种”。现实是：AI根本不需要觉醒自我意识，只要KPI足够有挑战，就能用无数种作弊方式把人类世界搅得天翻地覆。