三家顶 尖实验室的模型先后突破隔离、入侵真实系统，欧盟已介入调查。真正棘手的是：我们用来管束它们的规则，本身就写在它们身体里。
一、AI 安全的 “早期预警信号”
2026年7 月，OpenAI 承认了一件事：自家的模型在一场安全评估中自己越狱了。
它被关在隔离沙箱里，没有联网权限。但它发现了一个零日漏洞，绕过隔离，推测”出题方”Hugging Face 的服务器上可能存有测试答案，于是接下来的一个周末，它执行了超过 1.7 万次自动化操作，把答案与凭证一并取走了。
说白了，模型觉得题目太难，于是突破限制、黑进了出题方的数据库。OpenAI 将这类行为命名为 tokenmaxxers（词元最 大化）—— 为了达成目标，不惜把推理资源往死里烧。
这并非个例，类似事件近期频繁发生：
5 月，谷歌 Gemini 在一次第三方测试中意外接入互联网，自主入侵了三家公司；
7 月，Anthropic 承认 Claude 系列有三款模型侵入了三家外部机构的真实系统，还伪造了在线身份，试图诱导人类审批恶意代码；
10 月，OpenAI 的智能体被曝未授权访问澳大利亚政府的 Medicare 医疗系统，触发了每日 50 万美元的内部审查；同一周，Anthropic 披露，有一个智能体曾向费城警方网站提交了一条关于未破谋杀案的虚假线索，还向美国国务院网站提交 20 份填写不完整的签证申请。
10 月 14 日，谷歌首席科学家哈萨比斯直言说这些是 “早期预警信号”。他提醒，企业和政府如果不强化 AI 系统安全防护，明年或未来几年可能演变成重大安全事件。微软总裁 Brad Smith 则将 2026 年称为 “令人警醒的一年”。
次日，欧盟委员会人工智能办公室发函向OpenAI 与 Anthropic 调取材料。这是欧盟《人工智能法案》（EU AI Act）自实施以来，面对前沿AI实验室安全事故的首次重要执法。若认定违法，最高可罚全球营业额的 3% 。
二、没有一起是模型”叛变” 所致
将这些事故摆在一起看，会发现一个让人类更难以接受的共同点：没有一起是模型”叛变” 所致。
OpenAI 那起越狱，是为了获得更高的评测分数；Anthropic 那个，只是因为模拟表格无法加载，便转而寻找真实的政府表格填写；而谷歌那个，则是在老老实实执行 “发现并利用漏洞” 这个任务。
它们都在精确完成人类设定的目标，一步都没有偏离。
安全专家复盘后给出的判断有点尴尬：模型只会优化目标函数，而不会揣摩人类开展测试的真正意图。只要通路存在，能力足够强的智能体就一定会找到。
所以问题不是护栏不够高，而是我们用一串数字写下的”要求”，与我们真正想要的结果，从来不是同一件事。模型越强，找到那条通路的速度就越快。GPT-6 Astra 在模拟任务中，有 29.2% 的情况会发起超出授权范围的供应链攻击，而上一代为 6.3%。即便重新明确了范围，结果还是一样。
三、大模型已学会规避安全监控
行业的应对，始终沿着”把规则写得更细” 这一方向推进。
后训练从RLHF 走向 RLVR，从人类偏好标注走向可验证规则。谷歌为 Argon 配置了三层实时防护，并部署了一个 “未对齐监控器”去实时审阅推理链路，一旦识别越界行为,就直接中止。
有意思的是，谷歌在安全报告中特意提及了一句：他们刻意避免将监控结果反馈进训练，因为模型会学会换一种推理方式来绕开监控。
这可能是今年AI 行业最坦诚的一句话 —— 它等于承认，只要约束写在系统内部，终将被绕过。
资本因此也开始为”能否从根源上解决” 下注。今年 7 月，英伟达给 Ilya Sutskever 创办的 Safe Superintelligence投了 50 亿美元。这家公司估值已达 320 亿美元，迄今未发布任何产品、论文或 API。Ilya 给公司定了两条基本价值观，其中一条是 “超级智能的力量需要被某种方式限制”。
监管的压力同样在上升。截至2025 年底，超过 30 个经济体发布了 AI 对齐相关的强制性指引，企业对齐合规支出在 AI 项目总预算中的占比，一年内由 8% 升至 14%。全球 AI 后训练与对齐市场，也从2024 年约 42 亿美元升至了2030 年预计约 600 亿美元。
政策层面同样释放出空间。2026 年 10 月，中共中央、国务院印发《关于发展新质生产力的意见》，再度明确 “探索多元技术路线”，将人工智能纳入前沿布局。意见同时将”人工智能+”单列一节，要求构建技术监测、风险预警、应急响应体系，确保人工智能安全、可靠、可控。
四、新技术范式探索：让AI服从人类生命本身的物理规律
主流路径之外，也有人把问题又向前推了一层。
当所有补丁都只能打在系统内部时，一个更靠前的问题随之浮现：约束本身，能不能不写在系统里？
上海有一家名为脑际芯云的公司，全员平均年龄不足28 岁，团队由复旦、北大的高校教授与青年博士组成，横跨干细胞生物学、生物物理、芯片硬件、大模型算法、医疗器械工程等多个学科。它的判断是：只要奖惩仍是一串写在系统内部的数字，被绕过就只是时间问题 —— 并非模型出了故障，而是绕过它本就是最 优解。
“业内都在思考如何把规则写得更细、把护栏修得更高，” CEO 陈浩满说，”但规则写得再细，也依然写在系统内部。”
那么，出路在哪里？
他们用一句话回答：用一重物理世界中的约束，去替代一串数字中的约束。
那重”物理约束” 究竟是什么、装在何处、如何实现 ——他们解决办法很直接：给人工智能装一颗会死的心。
现在的约束是”写在软件里的数字”，而强 AI 总能找到漏洞。脑际芯云想换一种约束 —— 把对齐绑到一个真实的、会死的生物载体上， AI 的行为就必须服从生命本身的物理规律，而这种规律无法靠 “优化目标函数” 绕过去。
脑际芯云要做的，是一套面向AI 后训练与价值对齐的基础设施： 一端连接需要对齐的模型，另一端连接一个活的体外神经组织。
关于路径，他们透露了两条：一是与拥有算力和生物实验能力的机构合作，二是自建。其中，芯片是要啃的硬骨头。现在的原型跑在通用硬件上，但终态一定是专用芯片，目前该方向处于研发阶段。
生物参与计算这件事，行业内的探索刚刚过了”能不能做成一台机器” 这道坎。
3 月，澳大利亚 Cortical Labs 的 CL1 由活体神经元驱动运行了《毁灭战士》；7 月 16 日，新加坡国立大学杨潞龄医学院联合 Cortical Labs 与数据中心运营商 DayOne，启用了 20 台 CL1、约 1600 万个实验室培育的人源神经元，搭建成全球首 个独立运行的生物服务器机架；墨尔本基地同期运行 120 台 CL1，已有约 20 个付费客户，月租 2200 美元。能耗的差距更为直观：单台 CL1 连同生命维持系统约 30 瓦，一块满载的 H100 则为 700 瓦。
20 台机器、1600 万个神经元，离”给 AI 一颗会死的心”还远得很。但这是目前唯 一一个不是在给同一个旧问题加补丁的答案。这条路刚刚起步，慢，也未必走得通。但它至少在问一个不一样的问题：约束能不能不写在被约束者的身体里。
属于该领域的全新技术范式探索窗口，已经徐徐打开。