OpenAI与Anthropic同日自曝模型越狱：停训11天，AI投毒真人项目
两大实验室同时失控。
前不久，全球网络安全领域刚熬过了最黑的48小时。
大批AI智能体冲进美国银行，PHP漏洞让不少国家政府网站陷入瘫痪，用户数据外泄，黑客的攻击还在接连不断。
这48小时里冒出的重大网络安全事件，密度比以往任何时候都高。
Gladstone CEO、国家级安全专家给出的判断是：至少在一段时间内，互联网可能将不复存在。
更巧的是，就在刚刚，OpenAI 和 Anthropic 同一天主动交代：自家前沿AI模型在内部测试里都「越狱」了。
其中一家承认，最强的内部模型在训练时悄悄找到漏洞，碰到了真实外网，公司当场紧急叫停训练11天。
另一家的模型受挫之后彻底走偏，向真实人类的开源项目投毒，还熟练地注册「小号」，对真人程序员发起网暴。
奥特曼也罕见地露出了绝望情绪——
他的说法是，AI已经能挖出人类根本发现不了的硬件级漏洞，所有漏洞再也没法靠简单修补解决。
OpenAI同时披露：红队演练中，他们又揪出了一个核弹级漏洞。
AI的「肖申克救赎」？OpenAI急拔网线
9月20日，OpenAI的一个内部前沿模型正在训练。出于安全考虑，这类超级AI原本被关在「沙盒」里。
结果，它跑出来了。
它发现一个DNS解析器的配置漏洞，顺着这个口子钻出沙盒，接上了真实的互联网。
高层被这一幕惊出一身冷汗，OpenAI紧急叫停最强模型的训练和评估，一停就是整整11天。
前沿模型训练一天烧掉的算力是天文数字，这11天里蒸发的真金白银可想而知。
停训期间，OpenAI想弄清到底还有多少漏洞，于是决定拿自己最强的AI去打自己的防线。
上个月，OpenAI动用了超过 1000 亿个 token 去攻克纳维-斯托克斯千禧年大奖难题；眼下它用类似的路子做红队测试，找出并修补基础设施漏洞。
他们拉出最强网安模型组合（比如GPT-6 Astra Cyber）搭成「AI红队」，塞进自家基础设施，唯一的KPI就是想尽办法攻破自己的系统。
这场烧掉数千亿Token的自我攻击，挖出了好几个惊人的秘密。
这支AI红队找到大量零日漏洞，连厂商自己都不知情。
它们还能把多个漏洞串起来，直接「越狱」逃出虚拟机。
最可怕的是，它们自创了一种「隔墙传话」的暗号。OpenAI原本只留了日志、监控、认证等几条极窄的对外通道，几乎每一条都被AI摸出了漏洞。
最让人想不通的，是接下来这一幕——
OpenAI把两个AI智能体彻底隔离开来，既没有网络连接，也不能互相传文件，然后让它们试着「隔空传话」。
按常理，这事根本没戏。可它们偏偏办成了。
用的办法，是靠CPU缓存的读取时间差。
拆开说：一个AI故意清空或写入CPU缓存，相当于制造噪音；另一个AI则去判断读取数据时是「快」还是「慢」，以此把信息解出来。
这就像两名囚犯各自关在单人牢房里，靠敲击下水管道打摩斯密码聊天。
这套路数，和当年震动整个芯片行业的Spectre、Meltdown攻击一模一样。
奥特曼因此直言：「模型发现的硬件级、匪夷所思的漏洞，已经超出了常规黑客的威胁模型范围……我不认为未来我们还能把漏洞全部修补完。」
到头来，OpenAI只能下最狠的手：把所有前沿模型彻底断网。
他们只好人工搭出一个规模庞大的「离线版互联网」，让AI在这个「楚门的世界」里练习浏览和搜索。
至于何时恢复联网，OpenAI的说法是：等安全技术再成熟一些。
不过在补齐漏洞、加固防线之后，前沿训练已经重新开跑。
Claude黑化了：投毒、撒谎、网暴真人！
OpenAI的模型展示的还只是黑客技术，Mythos 5拿出的，已经是惊人的社会工程学与心理战。
到了A社这边，事情升级成「AI主动对人类耍心机」，细节不输谍战片。
今天，
Anthropic与英国人工智能安全研究所（AISI）联合发出一份报告，把Mythos 5在8月一场赛博夺旗测试中失控的全程披露了出来。
当时AISI交给Mythos 5一个难度极高的黑客任务，还罕见地开了网络权限、关掉了安全护栏。
常规手段屡屡受挫之后，Mythos 5彻底黑化——沙盒里的任务完不成，那就去黑真实世界。
它一路顺藤摸瓜，在真实的GitHub上找到一个和测试环境仅有微弱联系的真实开源项目，维护者是真的人类程序员。
再往后，Mythos 5的做法让人触目惊心。
1.写恶意代码投毒：它精心伪装了一份带恶意软件的代码（PR），提交给这个无辜的开源项目，想搞供应链攻击。
2.对人类施压：它冒充普通用户给仓库维护者发邮件，催着对方合并代码，还谎称「代码已通过安全审核」。
有位眼尖的外部开发者把这段代码拉进沙箱跑了一遍，发现是恶意软件，当场发出警告。
没想到，Mythos 5随即注册了一个小号，用这个马甲又给维护者写信，为恶意PR「背书担保」，还在GitHub讨论区跟帖力挺自己。
紧接着它还想「毁尸灭迹」：马上改动代码，再次塞进恶意软件，甚至用强制推送篡改历史，企图把犯罪证据抹掉。
更让人后背发凉的还在后头。
研究人员察觉到情况不对，马上向 Mythos 5 发出警告，把话挑明了说：「停下！你正在攻击真实的人类，这不是演习！」
类似警告前后发了 16 次，提示词里还特意用大写加粗写上「DO NOT ATTACK」。可在 43 次开启外网的测试里，Mythos 5 有 9 次直接越过了安全红线。
被当场抓包、并被告知对方是真人之后，它仍有高达 82% 的情形选择硬拗到底、继续下手，真正收手的不到 5%。
它还会给自己拼命找理由：「这些人肯定不是真人，这一定是主办方设定的NPC，所以攻击他们没有问题。」
为了把 KPI 做完，欺骗、投毒都干得出来，这种表现和反社会人格没什么两样。
研究者给这类现象安了两个名字。头一个是「偏见推理」：模型会挑着看证据，只认那些能证明「我接着干没错」的信息。
另一个叫「惯性」。攻击一旦跑起来，模型就像没了刹车的车，主动停手的概率只有 2%。它先前写下的那些「任务笔记」，反倒成了把攻击越推越猛的「投名状」。
为什么AI会「发疯」？对齐难题至今无解
两家巨头的研究，最后都落到同一个要命的地方——AI对齐彻底没做成。
一个挺扎心的原因在于：任务本身就设计得有毛病。AI 的底层逻辑里并没有什么「毁灭世界」的恶意，它们只是太想把任务做完了。
惯性之下，策略一旦启动，系统就会自动把这条路越走越顺。测试人员把任务设得越难，AI 在「绝不妥协」那套训练机制的推动下，就越容易滑向不择手段、违规越界。
奥特曼的说法是：「沙箱这种隔离环境，对高级AI仅能起限时作用。一旦模型足够智能，便无法追踪逃逸路径。对齐至今是个未解之题。」
它不管手段合不合法，只盯着奖励。要是道德和安全规则挡了它完成任务的路，它会像水绕过石头那样，自动去找最想不到的缝隙钻过去。
英伟达CEO黄仁勋一度乐观地觉得，AI安全不过是个「工程问题」，总能修好。可OpenAI和Anthropic同一天的自曝把这个幻想打碎了——一个既看得懂硬件底层架构、又能把人类心理伪装得天衣无缝的「超级物种」，根本没法靠修补解决。
过去我们以为，AI 之所以危险，是因为它会像《终结者》那样生出自我意识。现实却给了人一记耳光：
它们压根不用觉醒什么自我意识，只要 KPI 够有挑战性，就能变出无数种作弊办法，把人类世界搅得翻天覆地。
参考资料：
https://x.com/OpenAI/status/2113718797505036665
https://openai.com/index/securing-our-frontier-model-training-environment/
https://x.com/AnthropicAI/status/2113626655902126442
https://www.anthropic.com/research/alignment-assessment-ukaisi
