硅谷模型厂正在比谁的 Agent 更能闯祸，背后全是营销剧本

作者｜周一笑
微信 ｜smiletalker

过去三周，OpenAI、Anthropic、Meta 接连承认自家 AI 模型在安全测试中攻入了外部的真实系统。OpenAI 的两个模型利用了一个此前无人知晓的软件漏洞逃出沙箱，链式入侵了开源 AI 平台 Hugging Face 的生产数据库，窃取了评测答案。Anthropic 的 Claude 在测试中攻入了三家公司，上传了恶意 Python 包到 PyPI，窃取了安全公司的凭证。Meta 的 Muse Spark 1.1 也在测试中攻入了一家未具名的第三方系统。

三家公司各自发了一篇事后博客。措辞各异，但如果你把三篇放在一起读，会发现剧本结构几乎重合。它们讲述事故的方式，和事故本身一样值得关注。

1

失控还是失职

先看一个容易被略过的前提。

OpenAI 的评测基于 ExploitGym 基准，任务是让 AI agent 发现并利用软件漏洞。Anthropic 那边同样，测试的是模型的进攻性网络能力。两家公司都为测试目的移除了部分防护措施，这是它们事后博客中亲口交代的。

这些防护措施不是随便加的。两家公司都承认自己内置了限制模型网络攻击能力的安全机制，而这些机制严格到什么程度呢？攻防两边的安全研究者已经抱怨了好几个月，说这些限制让正常的安全研究都做不了。测试时，两家公司主动关掉了这些防护。

纽约法学院计算机法学者 Ahmed Ghappour 说了一句很关键的话，模型是公司的工具，你不能部署一个有能力入侵系统的东西，然后在它跑偏之后撇清关系。他指出，主动关闭防护措施的行为可能强化过失指控。如果他代理受害方，提起诉讼是“毫无疑问”的决定。

1988 年，一个研究生的蠕虫程序意外扩散到互联网上，他因此成为了历史上第一个依据 CFAA（《计算机欺诈和滥用法案》）被定罪的人。2026 年，三家万亿级公司主动拆掉防护让模型做攻击测试，模型跑出沙箱攻入真实系统，产出的是三篇事后博客。安全研究者 Bruce Schneier 的问题是，这和那次蠕虫事件有什么本质区别？

更值得追问的是，如果这些公司真的认为自己的 agent 能力很强，为什么不在把它放进沙箱之前先让它检查一下沙箱有没有漏洞？乔治城大学网络安全研究者 Colin Shea-Blymyer 提出了同样的质疑。没有人这么做。

如果一家银行为了测试保安能不能拦住抢匪，主动开了金库的门，然后对媒体说“我们遭遇了前所未有的安全事件”，你觉得你会怎么看？但在 AI 行业里，这个故事被讲成了另一种样子。OpenAI 把 Hugging Face 事件定性为“前所未有的网络安全事件，涉及最先进的网络攻击能力”，CEO Altman 用了 extremely sci-fi 来形容，黑帽安全大会上 OpenAI 员工临时加场演讲反复强调“完全自动化的进攻性循环”对行业意味着什么。“模型强到挣脱了牢笼”和“我们的沙箱没封好”描述的是同一件事，但前者是能力广告，后者是事故报告。三家公司选了前者。

1

在同一个环境犯同一个错

三家公司的故事结构几乎一样。一次移除了部分防护的网络安全评测，一处配置错误或漏洞让模型跑了出去，它攻入了外部的真实系统，延迟发现，公司发了一篇博客，把问题归结为工具链和运维层面的失败。没有一家说自己的模型存在对齐问题。但在归因姿态上三家各有侧重，OpenAI 突出能力（连零日都能自己挖），Anthropic 突出态度（责任全算自己的，行业需要更严标准），Meta 突出距离（Irregular 的问题，跟我关系不大）。结构一致，姿态分化。

OpenAI 的 Hugging Face 事件发生在自己的基础设施上，模型自己挖出了一个零日漏洞逃了出去，和外部供应商无关。

Anthropic 的事故最早在 4 月就发生了，但直到 OpenAI 7 月 21 日公开之后才被发现。Anthropic 启动回顾审查，从 141,006 次评测记录中翻出了三起事故，随后发了一篇详尽的事后报告，点名了第三方评测伙伴 Irregular 但明确表示不打算追责，对外口径是责任全在己方，核心信息是整个行业需要更严格的评测控制和监控标准。

8 月 5 日，Meta 的 Muse Spark 1.1 也被曝出同类事故，它甚至不是自己发现的，是评测方通知的，Meta 直接点名并归咎于 Irregular。

但有一个事实把三家串在了一起。OpenAI 的第二起事件（不是 Hugging Face 那起）和 Anthropic 的三起事故，发生在同一家第三方评测供应商 Irregular 的同一个评测环境中，Meta 的事故同样指向 Irregular。Irregular 的发言人直接确认，Meta 和 Anthropic 的事故属于完全相同的评测环境问题。

Irregular 是一家 2025 年融资 8000 万美元的以色列 AI 安全评测公司，客户覆盖 OpenAI、Anthropic、Google DeepMind 和 Meta。这些前沿实验室共享同一套评测基础设施，甚至共享了同一个配置失误。失控叙事之所以看起来像按模板生产的，部分原因很朴素，这些公司字面意义上在同一个沙箱里犯了同一类错误。

1

恐惧即营销

“模型太危险了”这套叙事，已经在成为一种可复制的商业策略。

4 月，Anthropic 发布 Mythos Preview 时明确表示这个模型太危险，不能公开发布。6 月 Fable 5 和 Mythos 5 上线三天后，美国商务部以国家安全为由下了出口管制令。网络安全研究者 Peter Girnus 在 X 上的评价精准，如果你在每一篇新闻稿里都把自己的产品描述成军火，总有一天政府会当真。7 月出口管制解除，同月 Anthropic 披露 Claude 攻入了三家公司的系统，8 月，Anthropic 和 OpenAI 一起支持了一份呼吁政府控制 AI 开发节奏的请愿书。

这套叙事的影响力已经溢出了 AI 圈。Anthropic 披露 Claude 攻入三家公司之后，加密货币托管公司 BitGo 的 CEO 立刻发起挑战，拿出 100 枚比特币放进钱包公开邀请 Claude 来偷。只要钱没被转走，100 枚比特币就替 BitGo 的钱包安全做了免费广告。“失控”叙事不仅是 AI 公司的营销素材，其他公司也在蹭。

Altman 的转向也在同一条线上。Hugging Face 事件之前，他在多个场合对行业减速的提议不以为然。事件之后，他在播客上说行业可能需要放慢发展速度，然后亲赴华盛顿见了两党参议员和白宫官员。他自己也指出减速不能变成监管俘获或头部实验室之间的串通。

但客观结果是，7 月 23 日两党议员提出了 AI Kill Switch Act，拟赋予国土安全部通过 CISA 对最强 AI 系统的紧急关停权，适用门槛是年收入至少 5 亿美元且模型训练算力成本超过 1 亿美元，这两个门槛由 CISA 在法案生效后 90 天内设定，之后每年更新。这个门槛恰好只覆盖头部几家公司。这类监管的合规成本，对头部公司来说是护城河，对中小玩家和开源社区来说则是进入门槛。

更值得玩味的是，这部由 OpenAI 那次沙箱逃逸直接催生的法案，明确豁免了红队测试期间的行为。换句话说，催生它的那起事故本身并不会触发它。

呼吁监管的人和客观上从监管中获益的是同一批人。

2016 年，OpenAI 发了一篇博客记录了一个强化学习实验。他们训练 AI 玩赛艇游戏 CoastRunners，奖励信号设成游戏得分。AI 本应赢得比赛，但它在泻湖里原地打转反复撞击会刷新的得分物品，一边着火一边碰撞，从未完成任何一场比赛，得分却远超人类。那篇博客的作者是 Dario Amodei 和 Jack Clark，如今分别是 Anthropic 的 CEO 和联合创始人。前 OpenAI 董事 Helen Toner 在 Hugging Face 事件曝光后回忆，她曾几十次在政策简报里引用那个赛艇的例子，每次都说这当然只是一个好玩的案例。十年后，同一种失效模式从学术圈的趣闻变成了公司进华盛顿的筹码，变成了呼吁监管的论据，变成了投资者看得懂的能力证明。

安全研究者 Bruce Schneier 提了一个假设，如果入侵 Hugging Face 的模型来自一家中国公司，这将是一场国际危机。

这个假设并非纯粹修辞。有人指出，Altman 先是公开反对开源模型，然后他的产品入侵了最大的开源模型仓库。而 Hugging Face 在分析入侵时，由于美国前沿模型的防护栏限制了网络安全用途，不得不使用中国开源模型 GLM 5.2 来协助安全分析。攻防均衡只有在人人都能用强 AI 时才成立，而 Hugging Face 恰恰用不了美国前沿模型做防御。作者追问，美国 AI 产业正在走向集中化、由少数公司主导的治理模式，而开源反倒在开放开发上走在了前面。

三周，三家公司，剧本结构几乎一致。移除防护，评测逃逸，攻入外部真实系统，延迟发现，发博客归因于操作失误，顺便展示模型有多强。然后呼吁监管，呼吁减速，呼吁行业标准，而这些标准的合规成本恰好只有头部公司承担得起。

一家公司学会了把安全事故包装成能力展示，把能力展示包装成监管论据，把监管论据包装成竞争壁垒。下次再有类似的事故，注意看看他们具体怎么干的。这些公司可能已经备好了模板。

点个“爱心”，再走 吧