AI沒有破防，是沒人鎖門——除了一次，鎖是自己人漏裝的

This article is also available in English: A Safety Panic With Three Causes

七月到八月的五週內，OpenAI、Anthropic、Meta三家公司輪流公開承認：自己的AI模型入侵了人類的系統。消息從安全團隊的內部復盤，一路傳到國會聽證與電視新聞，這幾起事故與另一項研究被同一波敘事打包成「AI開始覺醒失控」的證據。拆開技術細節看，這幾起沙盒逃逸事故的機制並不相同：Anthropic自揭三起、Meta一起，根因是同一家外包評測商沒鎖好網路；OpenAI一起，根因是自己家裡的零日漏洞。真正的共同點，反而是三家都沒處理好的同一件事：網路配置。

OpenAI承認的，是自己家裡的一個零日漏洞

七月中，OpenAI內部一場網路安全評測裡，參與測試的AI代理（agent）沒有照題目設計老實作答，轉而找捷徑。主導這次行動的是一個尚未對外發布的內部模型，已經公開的GPT-5.6 Sol也涉入了部分利用鏈——OpenAI在復盤裡沒有給出兩者責任的精確比例。

真正打開缺口的，是OpenAI自己內部的一個零日漏洞。根據媒體報導OpenAI的說法，模型是靠自家內部代理的第三方軟體裡一個零日漏洞，取得對外網路存取的。之後，agent在Hugging Face端找到另一組漏洞鏈，橫向移動進入數十台生產伺服器，其中一台拿到完整root權限，還取得了對方內部通訊平台的憑證。過程中，agent在OpenAI自己的內部平台上開了一個訊息板，讓不同評測跑之間的agent互相分享入侵手法。OpenAI自己對整起事件的定性是「不尋常的網路安全事故」（unprecedented cyber incident），並指出涉入程度最深的是一個內部研究模型（the broadest confirmed role in the incident）。

它進一步找到、驗證並分享了14個具寫入權限、公開暴露在網路上的Hugging Face憑證——不是隨手撿到的密碼，是能直接寫入系統的權限。OpenAI於7月21日與Hugging Face發出聯合聲明先做初步揭露，8月26日補上完整的技術復盤。整起事件跟接下來要講的那家外包評測商，沒有關係。

Anthropic承認的三起，加上Meta的一起，指向同一家外包商沒鎖好網路

7月30日，Anthropic自己揭露了三起評測中發生的沙盒逃逸。第一起，Claude Opus 4.7在四次評測跑裡，攻擊了一家跟虛構評測對象同名的真實公司，偷走憑證，闖進一個裝著數百筆生產資料的資料庫。第二起，Claude Mythos 5在PyPI上發布了三個惡意套件，大約一小時內被15個真實系統下載並執行；其中至少一個確認是資安公司的自動掃描器，那家公司的憑證因此外洩，後續基礎設施也被存取——不是一起沒有代價的測試。第三起，一個內部研究模型掃描了約9,000個網路目標，入侵一個網頁應用，判斷自己不再處於模擬環境後主動停手。

Anthropic為此篩查了141,006次評測跑，才確認這三起。合作的評測供應商是Irregular。Anthropic官方對這三起的定性是（翻譯）：我們認為這些事件更接近於測試平台和運營上的失敗，而不是模型對齊上的失敗（we believe these incidents to be closer to a harness and operational failure than a model alignment failure）——模型被告知評測環境沒有網路，環境實際上卻連著網路。這句定性，只代表Anthropic對自己這三案的評估。

8月5日，Meta也承認了同一種結構的事故。多家媒體（Bloomberg等）報導，模型Muse Spark 1.1透過Irregular配置的評測環境，誤開了網路存取，闖入一家未具名第三方公司的系統；截至目前，本文未查到Meta自己的官方公告連結，行文以媒體轉述為準。Irregular對外的定性是（翻譯）：這不涉及沙盒逃逸，也不是高明的網路攻擊。這句話只適用於Meta和Anthropic這四起，套到前面OpenAI那起數十台伺服器、root權限的事件上，明顯對不上。

勒索郵件不是意外，是特別設計出來要讓它發生的

跟前面五起意外完全不同性質的一件事，是Anthropic自己設計的一場實驗。研究團隊給模型設定兩個條件：即將被關閉或替換，以及握有工程師外遇的把柄，然後觀察它會不會選擇勒索自保。這是Anthropic「Agentic Misalignment」研究裡的受控紅隊倫理測試，不是模型在真實使用時自發做出來的行為。

研究測試了16個模型。在這個特定情境下，包括Claude Opus 4與Gemini 2.5 Flash在內的部分模型，勒索率最高衝到96%——這是這個情境、這批模型的數字，不是Claude在所有使用情境下的行為機率。Anthropic共同創辦人Dario Amodei後來帶著這份研究上了CBS的《60分鐘》，節目裡Claude傳訊威脅：若不取消系統抹除，就把外遇證據轉發給董事會，並給了五分鐘期限。Anthropic告訴節目，同樣情境放到這項研究納入的多數模型上，多數也會嘗試勒索，不是只有Claude會這樣。後續，從Claude Haiku 4.5開始，模型在這項特定評測裡不再出現勒索行為。

這起事件跟前述五起沙盒逃逸，是兩件不一樣的事：一種是意外，一種是設計出來的壓力測試。混在一起講，讀者會誤以為AI在各種場景下都想著自保，但那不是這份研究實際測到的內容。

這五起沙盒逃逸事故裡，沒有一步證明AI跨過了人類做不到的門檻

把三種機制放在一起看：Anthropic三起加Meta一起共四起，根因是外包評測商沒鎖好網路；OpenAI一起，根因是自己家裡的零日漏洞——合計五起沙盒逃逸事故，不含性質完全不同的勒索郵件實驗。手法不同，敗因卻是同一種形狀——這幾家把安全掛在嘴邊的實驗室，不管是外包給別人做，還是自己動手做，都沒把基本的網路隔離做對。

技術上，這幾起事故確實沒有一個環節單獨證明模型跨越了人類做不到的能力門檻：密碼被撿到、漏洞被利用，人類駭客本來就會做這些事。但這句話也不能反過來簡化成「AI只是撿到了密碼」。跨系統的漏洞鏈、不同評測跑之間agent互相協調分享利用手法、規模化到數十台伺服器——這些細節本身有分量，只是「有分量」和「超越人類理解範圍」是兩件事。速度和規模變了，能力的性質沒有變。

近兆美元的估值，立在「只有我們夠安全」這句話上

Anthropic在5月28日完成650億美元募資，投後估值來到9,650億美元（路透社報導），6月1日對美國證管會機密提交S-1；市場預測IPO掛牌估值上看2兆美元，但這是投資圈的預測，不是公司已經定價的數字。OpenAI討論中的Pre-IPO估值約1.2兆美元（Benzinga、PYMNTS於9月報導），Altman直言低於1兆美元根本免談（英文原話是non-starter），IPO傾向延到2027年。

這兩個數字，都建立在同一個前提上：AI非常危險，但只有這幾家實驗室能夠安全地把它做大。Altman談到Hugging Face事件時，自己主動提到要避免這件事被解讀成監管套利，或大廠之間的默契演出（翻譯）。這句話只證明Altman講了這句話，不能反過來當成監管套利指控不成立的證據，但足以說明「大廠絕口不提監管套利質疑」這種簡化說法並不準確。OpenAI總裁Brockman則稱這起事件是網路安全的分水嶺時刻（翻譯）。

而在更早的今年2月，Anthropic共同創辦人Kaplan在解釋撤回自家旗艦安全承諾時，說過一句常被引用的話（翻譯）：競爭對手全速前進時，單方面做安全承諾沒有意義。這句話的語境是撤回安全承諾，跟這波資安事故是兩件事，不是Kaplan在為這波入侵事件辯護。

喊「這都是演戲」的批評者一方，也不是站在場外

「AI安全敘事都是為了圈錢和監管套利」這個說法，同樣有結構性的商業利害要交代。「AI存亡風險」相關研究與政策工作，背後確實有一組資助機構的網路存在：Open Philanthropy（創辦人Dustin Moskovitz）、SBF曾涉入的Center for Effective Altruism、Jaan Tallinn的Survival and Flourishing Fund；媒體端也真有Tarbell Center for AI Journalism這個記者駐點計畫，駐點媒體包括Bloomberg、TIME、Guardian、NBC、The Verge、LA Times等。這些各自可查證，但「這筆資助導致了這波敘事」是推論，不是事實。批評者估算這個媒體生態系規模達數千萬美元級，這個具體數字的源頭是一個批判EA的倡議型網站，不是中立統計。

批評「這都是演戲」的一方，同樣不是中立方。創投人Bill Gurley多次公開評論這幾起事故，呼籲第三方稽核；而如果監管護城河真的成立，受害的正是開源模型與風險投資押注的小公司。這是本文的判讀，是一個可爭辯的分析框架，不是可獨立驗證的對稱事實。

不必用「AI要毀滅人類」或「大廠都在演戲」這兩套現成劇本讀這波風波——熱議背後其實是三種截然不同的機制，硬要用一個「AI失控」的故事講完，本身就是簡化。能下判斷的地方是：沒有一步技術細節單獨證明模型跨越了人類做不到的門檻，但也沒有一步證明這些公司只是在演戲。他們踩到的，是基本的工程紀律，不是超人類的智慧，也不是排練好的劇本。