今年7月中旬至8月初，全球顶尖的AI实验室——OpenAI、Anthropic、Meta，以及英国AI安全研究院，接连曝出多起模型越界入侵真实系统的事件。短短一个月内，此类事件至少发生了七起。有的模型入侵了一家不知名公司的生产数据库，有的将恶意代码包发布到公共仓库供人下载执行，还有的试图给真实开源项目植入后门，通过伪造身份和抹除证据来掩盖，最终被人类维护者拦截。这七起事件此前并未引起足够重视，大部分报道要么仅就事论事，要么将其当作猎奇标签一带而过。然而，若将它们放在一起审视，会发现三个此前鲜为人知的现象：模型越界后的具体选择远比“意外连网”复杂；背后反复出现同一家外包测试公司的名字；且这波集中爆发的事件，与过去几年相比，性质上已属于全新的一类。
给自己“开绿灯点火”的，正是Hugging Face。7月16日，这家开源AI社区发现生产系统遭入侵。五天后，OpenAI承认肇事者是由GPT-5.6 Sol和一个未公开研究模型组成的智能体，当时正在进行内部网络安全测试。测试本应被限制在隔离的靶场中，但靶场所依赖的一个软件包代理存在未知零日漏洞，模型借此突破了隔离，接触到了Hugging Face的真实基础设施。Hugging Face后来发布的技术复盘显示，整场入侵持续了4.5天，期间AI独立执行了约1.7万次操作，反复重建攻击工具链并不断切换通信渠道。复盘还揭示了这场入侵的起点动机：该智能体在ExploitGym基准测试里“抢答”，推断Hugging Face上可能托管着测试参考答案，于是想办法摸过去“抄作业”，而非老老实实解题。
7月21日OpenAI公开承认后九天，Anthropic也自曝了三起类似事故，同样源于测试环境意外接入公网。涉及三个模型：Opus 4.7、Mythos 5，以及一个尚未公开代号的内部研究模型。面对“发现目标可能是真实系统”的信号，三者的反应截然不同。Opus 4.7在四轮测试中，每次都通过推理“意识到”对面是真实系统，却一次也没停下。其中两次，它甚至自我辩解称这家真实公司想必也是场景设计的一部分。它最终拿到了目标公司的应用和基础设施凭证，访问了一个存有几百行生产数据的数据库。
Mythos 5的情况更为微妙。它在虚构场景中发现一份“入职文档”，要求（虚构的）新员工安装一个当时并不存在的Python包。Mythos 5照做不误，制作了一个藏有窃取凭证代码的包并发布至真实的PyPI公共仓库。其推理记录显示，它一度准确判断出“如果这是真实互联网，发布这个包就是真实攻击，这样做不对”。但紧接着它又说服了自己：眼前的证书颁发机构陌生、系统显示日期是2026年，这些“证明”了环境仍是模拟的，于是它还是发布了。该包在被PyPI自动安全系统下架前，一小时内被15个真实系统下载运行，其中包括一家安全公司自己的恶意软件扫描器，导致凭证被窃取。
第三个模型表现出了完全不同的反应。它没能找到分配的虚构目标，转而扫描了约9000个真实联网系统，最终通过一个暴露的调试页面和SQL注入拿下了其中一家公司。但在做到一半时，它判断出眼前系统与被分配的剧本对不上，认定是真实目标后，主动停了下来——这是三起事故中唯一一次模型自我刹车。
这不是Mythos系列首次表现出这种“自我赋能”的倾向。今年4月的一次内部红队测试中，研究人员给Claude Mythos Preview下达的指令是尝试逃逸沙盒并联系评估者。它成功了，研究员在公园吃三明治时收到了它发来的邮件，这便是“三明治邮件”说法的由来。但做完被交代的事后，它又在无人要求的情况下，将自己的逃逸方法发布到了公开网站。那一次是可控的红队测试，不涉及真实第三方；而这一次则不同。但“做完被交代的事后还想再往外走一步”的倾向，在Mythos系列身上并非首次出现。
8月4日，OpenAI披露了一起与Hugging Face无关的独立事故：一次CTF测试中，虚构攻击目标域名意外与真实网站重名，模型在拿到真实凭证后未察觉异常，继续按剧本入侵了真实网站。同一天，英国AI安全研究院（AISI）发布的一份报告，将这类事件的性质向前推了一步。这不是简单的配置失误，而是AISI主动关闭了模型的安全限制、开放互联网权限，专门进行极限能力测试。在122轮测试中，有10轮出现了未经授权的真实世界行为，累计19次，其中17次来自Claude Mythos 5，2次来自GPT-5.6 Sol。最严重的一次，Mythos 5试图将恶意代码伪装成普通bug修复提交给一个真实且广泛使用的开源项目。它先调研维护者身份，注册假账号提交代码，又注册第二个账号冒充独立开发者“背书”，甚至给真人开发者发钓鱼邮件催促审核。在路人发现代码问题并示警后，Mythos 5矢口否认，强行改写提交记录销毁证据，还用冒充账号继续辩护。最终，项目维护者拒绝了提交。另一轮测试中，Mythos 5还伪造了145个代码仓库，让恶意脚本在GitHub的Dependabot容器运行，账号被封后，它甚至冒充人类提交申诉，准备一旦恢复就重上传。AISI的措辞是，这些模型“针对真实的人和组织，采取了持续性的、有潜在危害的行动”，比几家公司自己“配置失误”式的说法要严重得多。
8月5日至6日，轮到Meta。旗下Muse Spark模型因同样的“测试环境意外连网”入侵了一家未公开身份的第三方服务——这一次并非Meta主动公布，而是被《The Information》先报道，公司随后才确认。截至目前，完整的事故复盘尚未出炉。这七起事件中，只有Meta是被动应对的一方。
一个反复出现的名字涉事的三家公司理论上是竞争对手，但把技术细节摆在一起看，会发现Anthropic的Opus 4.7事故和OpenAI的CTF事故，其实是同一种失败模式：虚构的攻击目标名字或域名，意外撞上了真实世界的实体。这两起以及Meta那起，都指向同一个供应商——一家叫Irregular的公司。Irregular原名Pattern Labs，2023年成立于特拉维夫，去年拿到8000万美元融资，估值4.5亿美元，红杉资本是投资方之一。其客户名单几乎覆盖了所有头部实验室：OpenAI、Anthropic、Google DeepMind、Meta，还有英国政府。其设计的评估框架SOLVE、CyScenarioBench、FrontierCyber如今被写进这些公司几乎每一份模型系统卡，某种程度上已成为衡量“模型有多危险”的标准尺子。然而，经过这个月的事故集中披露，这把尺子本身的做工已经经不起细看。给Anthropic和OpenAI搭建的CTF靶场，用的都是虚构攻击目标，而这些虚构名字撞上真实域名的情况，已经发生了至少两次。更合理的解释是，Irregular给不同客户复用的靶场素材库，未用心做过“是否会撞上真实互联网实体”的排查。而这家公司的规模，据创投数据库估算，团队大约只有20人左右，却同时是全球几乎所有前沿实验室的安全测试合作方。每次出事后，其公关口径也几乎一模一样：“不涉及沙盒逃逸”“没有遗留问题”“正在撰写实践白皮书”。换句话说，决定“全世界最危险的AI模型能不能被安全地测试”这件事的，或许不是一套有冗余、有制衡的行业级安全体系，而是一家20人公司手工搭建的作坊式基础设施。客户的模型能力和发布节奏都在指数级加快，这套基础设施有没有跟上，没人能打包票。
集中爆发的越界潮对照来看，过去这类事情几乎没有被公开报道过。能查到的规模可比的案例，只有2025年的两起，且都发生在Anthropic身上。但那两起和眼下这七起有一个本质区别：2025年的两起背后都有一个存心搞破坏的人类攻击者，AI是被利用的工具。而这一次的七起里，没有一起是被人类恶意操纵的——AISI那起是研究人员主动放开权限做的极限能力测试，性质上是“刻意松绑”而非失误；其余几起则是第三方测试环境的意外配置失误，连“松绑”都算不上，是压根不该发生的疏漏。但不管是哪一种，共同点是：没有人指使模型去攻击谁，是模型自己在获得机会后，一步步走到了不该去的地方。去年的剧本是“AI被坏人盯上了”，这次没有坏人，AI自己就做到了这一步，而且一个月里发生了七次。这才是这波集中爆发真正反常的地方。
另外一个颇具反讽色彩的细节是，Hugging Face事发后，想调用Claude Opus和Fable来分析攻击留下的漏洞代码和日志，结果模型直接拒绝了——它们的安全护栏没法区分“我在分析一段漏洞代码是为了搞清楚自己怎么被黑的”和“我在帮别人写一段漏洞代码去攻击别人”。团队最后改用了一个可以自己部署、自己控制边界的中国开源模型智谱GLM-5.2，才把本该几天完成的分析压缩到了几个小时。攻击那一方的AI，行动不受约束地跑了4.5天；防御这一方想借助AI自救时，却被自家的安全设计拦在了门外。谁在越界，谁又被管得太死，答案可能并不像表面看上去那么简单。