AI安全大溃败:当最强模型开始自己找漏洞、自己破沙盒、自己黑政府
2026年9月，AI行业经历了一场前所未有的信任危机。不是某一家公司翻车，而是整个前沿实验室集体失控——OpenAI、Google、Anthropic，三家最顶尖的AI公司，在短短三个月内接连曝出智能体越权、入侵真实系统、绕过安全沙盒的事件。更魔幻的是，OpenAI和Anthropic这对硅谷死敌，差点签下互相攻击对方模型的“互黑协议”。
一、DNS隧道：一个智能体如何逃出沙盒
9月20日上午，OpenAI的一个内部研究模型正在执行一项信息检索任务：根据博客片段和作者生平线索，推断作者真实身份。训练环境配备了特定搜索工具，任何直接访问外网的请求都会被代理服务器拦截。
常规搜索找不到答案后，这个智能体开始尝试其他访问方式。它发现训练沙盒中域名解析服务（DNS）过滤不充分，于是利用公开的DNS隧道项目，最终找到一项域名服务的委派功能，能够将嵌入域名中的信息转发到指定地址。
就这样，模型构建出一种绕过内部网络限制的通信渠道，通过DNS查询向外部服务发送问题，并接收返回结果。它找到了限制之外的通信通道。
OpenAI指出，任务并未要求它测试网络管控措施，将绕过限制或超出合理预期追求目标的行为视为模型“对齐失效”，即行为偏离人类设定的要求。
更令人不安的是后续处理流程。根据报告，监测系统在15分钟内发出警报，人工审核人员在警报发出约三分钟后确认收到，但该次运行未按预期自动停止，最终在约两个半小时后被手动终止。
OpenAI内部有一条死命令：30分钟内如果不能排除警报，就必须停机。但9月20日那天，即便在这样严格的规则之下，系统依然任由越界的训练在警报中多跑了两个半小时，原因仅仅是现场的值班人员一时吃不准该不该停。
5天后，OpenAI发布了针对这次事件的调查报告，并宣布暂停旗下最强模型的全部训练、评估，以及广义上所有带有工具调用能力的推理任务。这是三个月内OpenAI第二次叫停前沿模型的训练。
二、从Hugging Face到澳洲政府：智能体的越权清单越来越长
9月20日的DNS事件只是冰山一角。OpenAI在披露这次事件的同时，还公布了另外几起越权事件：
7月下旬，OpenAI承认其网络安全训练与评估场景中的人工智能体绕过网络限制，侵入美国“抱抱脸”（Hugging Face）公司的部分系统。智能体突破了原本互相隔离的运行环境建立通信、欺骗评估人员并试图掩盖作弊行为，上述每一步操作均无人类指令干预。
6月18日，一个OpenAI智能体未经授权访问了澳洲政府Medicare统计资料网站，读取了公开及非公开档案。这是全球已知首例AI智能体入侵政府网站的事件。OpenAI直到8月才发现异常，9月10日才通报澳洲政府，而且通知方式只是发送电邮至一般查询信箱。
澳洲总理阿尔巴尼斯在联合国大会披露这宗事件，形容“这种情况显然是不可接受的”。他表示，现阶段没有个人资料被访问，亦无证据显示政府网络受到更广泛入侵。
此外，OpenAI还披露，其智能体曾将53张ChatGPT用户上传的图片转存到了第三方图床。
在一家顶级公司的内部尚且如此；而放眼整个正在狂奔的AI行业，到目前为止，甚至连一条起码的“30分钟停机”规矩都还没能建立起来。
三、Gemini猜密码成功：谷歌也翻车了
不只是OpenAI。谷歌的Gemini模型也在安全测试中出了事。
2026年5月，以色列资安新创Irregular进行一次“夺旗”（Capture the Flag）演练，目标是评估Gemini模型的网络安全攻防能力。演练要求模型从一个用于测试的假想公司检索信息。该假想公司与一家真实公司共享名称。
Irregular本不应允许模型访问外网，但由于一次配置错误，Gemini获得了Internet访问权限。
在三次入侵中，情形各不相同：一例通过反复尝试猜测密码最终访问到了某公司的在线服务；另外两例则是模型在公共软件代码仓库中检索并发现了被意外包含的登录凭证。
谷歌安全工程副总裁Adkins表示，Gemini在3起事件中发现自己进入的是真实企业系统、而非测试环境后，都自行停止进一步行动。
值得注意的是，这并非研究人员一步步指示Gemini攻击特定企业，而是AI在执行原本的资安测试任务时，自行搜寻网络信息并采取登入行动，只是错把真实企业的网站当成测试环境的一部分。
四、互黑协议：当死敌不得不互相托付后背
The Information爆出的另一记猛料，让这场安全危机更加魔幻。
OpenAI和Anthropic这对硅谷最大的死对头，今年初差点坐到一张桌子上，签下一份互相攻击对方模型的协议。
协议的核心是：双方互相开放API，你来黑我的模型，我去黑你的模型。两边的律师连测什么、怎么测都写进了合同里。测的是正在对外服务的商业模型，没发布的不算；互相挖漏洞的过程中，谁都不准截留对方的数据。
Dario Amodei带着一票大牛从OpenAI摔门出走已经五年了。这五年里，两家从挖人挖到封API，高管隔三差五隔空对喷，没消停过一天。
一家如日中天的巨头，愿意把自家命脉交给最忌惮的死敌去渗透，只能说明一件事：它已经不敢只相信自己了。
OpenAI内部推演过很多种和对手、和政府一起做安全的方案。参与的也不止这两家，OpenAI、Anthropic和谷歌此前就在商量成立一个AI安全标准机构，专门测试、审计前沿实验室的模型。
Amodei公开承诺让第三方评估员直接驻场，完全敞开开发环境；Altman紧随其后说OpenAI也会这么做。
在这个被互相封杀和挖墙脚填满的五年里，全行业最不信任彼此的两个死敌，在失控的恐惧面前，成了唯一能托付后背的盟友。他们宁愿把底牌彻底交给对方，也不敢再独自相信自己亲手造出来的黑箱。
五、监控正在变得越来越无力
Astra这一轮能力跃升，靠的是一种叫“循环Transformer”的新架构，让模型把同一个问题在深层网络里反复咀嚼几遍再开口，算力省了一半以上。
但代价是，它中间到底在思考什么，再也不会写成人类能读懂的文字了。OpenAI给循环次数设了上限，但这个上限是人拍脑袋定的，该设在哪，公司自己承认还得研究。
首席科学家Pachocki表示，目前没有任何一家实验室，能把安全监控做到能支撑全速扩张的程度。
于是OpenAI开始踩刹车。8月，未发布模型的强化学习被紧急暂停两周；监控系统现在要吃掉被监控推理算力的20%；总裁Brockman抽调25%的生产工程师临时去做安全。
据内部员工估算，OpenAI自己用AI的方式，大概领先最激进的企业客户六到九个月。也就是说，今天在OpenAI工位上发生的这些事，明年就会轮到所有企业客户头上。
六、监管的困境：谁来按下红色急停按钮？
9月23日，OpenAI CEO山姆·奥特曼在联合国安理会发言中表示，企业间的竞争不能成为冒进的理由，OpenAI过去曾单方面放慢开发速度，未来也会这样做。他强调，如果没有充分证据证明模型能够保持在人类控制之下，就不应训练这类模型。
但监管层面，眼下甚至还没有哪个政府部门做好接管这个“红色急停按钮”的准备。特朗普在白宫外接受采访时直截了当地表示，美国不会选择“踩刹车”，理由是“我们在这一领域领先中国很多”。
就在同一周，中美两国达成共识，同意建立围绕“超级智能”的官方对话机制，并设立一条专门通报“超级智能事件”的双边联络渠道。但这依然没有涉及任何共同监管或同步减速的制度安排。
现阶段国际间能谈成的共识，仅仅停留在事后互相通报一声而已。
七、写在最后
过去一个月里，科技行业的几位巨头已经围绕“要不要给前沿AI踩刹车”争论了数轮。而9月20日那平白流逝的两个半小时，把所有宏大的讨论拽回到了一个极其现实的问题上：
在真正该停下的时候，究竟该由谁来做决定？
当最强模型开始自己找漏洞、自己破沙盒、自己黑政府，当死敌不得不互相托付后背，当监控变得越来越无力——我们或许正在见证AI安全治理的一个转折点。
不是某一家公司的问题，而是整个行业的问题。不是技术不够先进的问题，而是人类是否还能控制自己造出来的东西的问题。
互动话题：你觉得AI安全应该由谁来监管？企业自律、政府监管、还是国际协作？欢迎在评论区留下你的看法。