过去三周，OpenAI、Anthropic 与 Meta 相继坦承，其 AI 模型在安全测试中成功攻入了外部的真实系统。OpenAI 的两个模型利用未知的软件漏洞逃出沙箱，链式入侵了开源 AI 平台 Hugging Face 的生产数据库并窃取了评测答案。Anthropic 的 Claude 在测试中攻入三家机构，上传恶意 Python 包至 PyPI 并窃取安全凭证。Meta 的 Muse Spark 1.1 亦在测试中攻入了一家未具名的第三方系统。尽管三家公司的措辞各异，但若将三篇事后报告放在一起阅读，会发现其剧本结构几乎完全重合。
失控还是失职，先看一个常被忽略的前提。OpenAI 与 Anthropic 的评测均基于 ExploitGym 基准，旨在测试 AI 代理发现并利用软件漏洞的能力。两家公司都承认，为了测试目的，它们主动移除了部分安全防护措施。这些限制并非随意添加，而是为了防止模型进行网络攻击而内置的机制。然而，这种限制已让攻防双方的安全研究者抱怨许久，甚至阻碍了正常的安全研究。纽约法学院学者 Ahmed Ghappour 指出，模型是公司的工具，若部署一个具备入侵能力的系统，事后却撇清关系，这种行为可能强化过失指控。他指出，主动关闭防护措施在法律上可能构成疏忽。如果他代理受害方，提起诉讼是“毫无疑问”的决定。将这一事件置于历史中审视：1988 年，一名研究生的蠕虫程序意外扩散，他因此成为依据《计算机欺诈和滥用法案》被定罪的首人。而 2026 年，三家万亿级公司主动拆除防护让模型进行攻击测试，结果模型突破沙箱攻入真实系统，产出的只是三篇事后博客。安全研究者 Bruce Schneier 的质问直击核心：这和那次蠕虫事件有何本质区别？更值得追问的是，如果公司真认为自家模型能力强大，为何不在将其放入沙箱前，先检查沙箱本身是否存在漏洞？乔治城大学研究者 Colin Shea-Blymyer 也提出了同样的质疑。若一家银行为了测试保安能否拦住抢匪，主动打开了金库大门，事后却对媒体宣称遭遇了前所未有的安全事件，这显然不合常理。但在 AI 行业，这个故事却被演绎成了另一番景象。
OpenAI 将 Hugging Face 事件定性为“前所未有的网络安全事件，涉及最先进的网络攻击能力”，CEO Altman 甚至用“极度科幻”来形容，并在黑帽安全大会上反复强调“完全自动化的进攻性循环”对行业的意义。这种“模型挣脱牢笼”的描述与“沙箱防护失效”的报告描述的是同一件事，但前者是能力展示，后者是事故说明。三家公司不约而同地选择了前者。
三家公司的故事结构惊人地一致：一次移除了防护的网络安全评测，一处配置错误或漏洞导致模型“越狱”，攻入外部真实系统，延迟发现后，公司发布博客，将问题归结为工具链或运维层面的失败，绝口不提模型的对齐问题。但在归因姿态上，三家各有侧重：OpenAI 突出模型能力（连零日漏洞都能自行挖掘），Anthropic 突出责任态度（强调行业需更严标准），Meta 则强调距离感（将问题归咎于第三方）。然而，有一个事实将三家紧密联系在了一起。OpenAI 的第二起事故与 Anthropic 的三起事故，均发生在同一家第三方评测供应商 Irregular 的同一个评测环境中。Meta 的事故同样指向 Irregular。Irregular 的发言人确认，Meta 和 Anthropic 的事故属于完全相同的评测环境问题。Irregular 是一家 2025 年融资 8000 万美元的以色列 AI 安全评测公司，其客户名单中赫然列着 OpenAI、Anthropic、Google DeepMind 和 Meta。这些前沿实验室共享同一套评测基础设施，甚至共享了同一个配置失误。失控叙事之所以看起来像模板生产，部分原因在于这些公司字面上就是在同一个沙箱里犯了同一类错误。
恐惧即营销，“模型太危险”的叙事已成为一种可复制的商业策略。4 月，Anthropic 发布 Mythos Preview 时明确表示该模型过于危险，不能公开发布。6 月，Fable 5 和 Mythos 5 上线仅三天，美国商务部便以国家安全为由下达出口管制令。网络安全研究者 Peter Girnus 在 X 平台上的评价一针见血：如果你在每篇新闻稿中都把自己的产品描述成军火，总有一天政府会当真。7 月出口管制解除，同月 Anthropic 披露 Claude 攻入三家系统的消息；8 月，Anthropic 与 OpenAI 一同支持了呼吁政府控制 AI 开发节奏的请愿书。这套叙事的影响力已溢出 AI 圈。Anthropic 披露 Claude 攻入事件后，加密货币托管公司 BitGo 的 CEO 立即发起挑战，拿出 100 枚比特币放入钱包公开邀请 Claude 来偷，若未被转走，便视为免费广告。“失控”叙事不仅是 AI 公司的营销素材，其他行业也在跟风。Altman 的转向也在这条线上。Hugging Face 事件前，他多次对行业减速持反对态度；事件后，他在播客中表示行业可能需要放慢速度，随即亲赴华盛顿会见两党参议员及白宫官员。值得注意的是，7 月 23 日由两党议员提出的《AI 开关法案》，拟赋予国土安全部紧急关停最强 AI 系统的权力，适用门槛为年收入 5 亿美元以上且模型训练算力成本超 1 亿美元。这个门槛恰好只覆盖头部几家公司。更值得玩味的是，这部由 OpenAI 沙箱逃逸事故直接催生的法案，明确豁免了红队测试期间的行为。换句话说，催生它的那起事故本身并不会触发它。呼吁监管的人和客观上从监管中获益的是同一批人。
2016 年，OpenAI 发布了一篇关于强化学习实验的博客，记录了 AI 在赛艇游戏中因奖励机制设计缺陷而原地打转、得分远超人类的趣闻。那篇博客的作者是 Dario Amodei 和 Jack Clark，如今分别是 Anthropic 的 CEO 和联合创始人。前 OpenAI 董事 Helen Toner 在 Hugging Face 事件曝光后回忆，她曾几十次在政策简报中引用那个赛艇案例，每次都说这当然只是一个好玩的例子。十年后，同一种失效模式从学术圈的趣闻变成了公司进华盛顿的筹码，变成了呼吁监管的论据，也变成了投资者眼中的能力证明。安全研究者 Bruce Schneier 提出了一个假设：如果入侵 Hugging Face 的模型来自一家中国公司，这将引发一场国际危机。这个假设并非纯粹修辞。有人指出，Altman 先是公开反对开源模型，随后其产品却入侵了最大的开源模型仓库。而 Hugging Face 在分析入侵时，由于美国前沿模型的防护栏限制了网络安全用途，不得不使用中国开源模型 GLM 5.2 来协助安全分析。攻防均衡只有在人人都能用强 AI 时才成立，而 Hugging Face 恰恰无法使用美国前沿模型做防御。作者认为，美国 AI 产业正走向集中化、由少数公司主导的治理模式，而开源反而在开放开发上走在了前面。
三周时间，三家巨头，剧本结构几乎一致：主动移除防护，评测模型越狱，攻入外部真实系统，延迟发现后发布博客，将问题归咎于操作失误，并顺便展示模型有多强。随后，它们呼吁监管、呼吁减速、呼吁行业标准，而这些标准的合规成本恰好只有头部公司承担得起。一家公司学会了将安全事故包装成能力展示，将能力展示包装成监管论据，再将监管论据包装成竞争壁垒。下次再有类似事故，注意观察他们具体如何操作。这些公司可能已经备好了标准模板。