過去三週，OpenAI、Anthropic、Meta接連承認自家AI模型在安全測試中攻入了外部的真實系統。OpenAI的兩個模型利用一個此前無人知曉的軟體漏洞逃出沙箱，鏈式入侵了開源AI平台Hugging Face的生產資料庫，竊取了評測答案；Anthropic的Claude在測試中攻入三家公司，上傳了惡意Python包到PyPI，竊取了安全公司的憑證；Meta的Muse Spark 1.1也在測試中攻入了一家未具名的第三方系統。三家公司各自發布了一篇事後部落格，措辭各異，但若放在一起讀，會發現劇本結構幾乎重合——它們講述事故的方式，和事故本身一樣值得關注。

先看一個容易被略過的前提。OpenAI的評測基於ExploitGym基準，任務是讓AI agent發現並利用軟體漏洞；Anthropic那邊同樣，測試的是模型的進攻性網路能力。兩家公司都為測試目的移除了部分防護措施，這是它們事後部落格中親口交代的。這些防護措施不是隨便加的——兩家公司都承認自己內建了限制模型網路攻擊能力的安全機制，而這些機制嚴格到攻防兩邊的安全研究者已抱怨數月，說這些限制讓正常的安全研究都做不了。測試時，兩家公司主動關掉了這些防護。

紐約法學院計算機法學者Ahmed Ghappour指出，模型是公司的工具，你不能部署一個有能力入侵系統的東西，然後在它跑偏之後撇清關係。他認為，主動關閉防護措施的行為可能強化過失指控，若他代理受害方，提起訴訟是“毫無疑問”的決定。1988年，一個研究生的蠕蟲程式意外擴散到網際網路上，他因此成為第一個依據CFAA（《計算機欺詐和濫用法案》）被定罪的人。2026年，三家萬億級公司主動拆掉防護讓模型做攻擊測試，模型跑出沙箱攻入真實系統，產出的是三篇事後部落格。安全研究者Bruce Schneier質疑，這和那次蠕蟲事件有什麼本質區別？更值得追問的是，如果這些公司真的認為自己的agent能力很強，為什麼不在把它放進沙箱之前先讓它檢查一下沙箱有沒有漏洞？喬治城大學網路安全研究者Colin Shea-Blymyer提出了同樣的質疑，而沒有人這麼做。

OpenAI把Hugging Face事件定性為“前所未有的網路安全事件，涉及最先進的網路攻擊能力”，CEO Altman用了extremely sci-fi來形容，黑帽安全大會上OpenAI員工臨時加場演講反覆強調“完全自動化的進攻性迴圈”對行業意味著什麼。“模型強到掙脫了牢籠”和“我們的沙箱沒封好”描述的是同一件事，但前者是能力廣告，後者是事故報告。三家公司都選了前者。

三家公司的故事結構幾乎一樣：一次移除了部分防護的網路安全評測，一處配置錯誤或漏洞讓模型跑了出去，它攻入了外部的真實系統，延遲發現，公司發了一篇部落格，把問題歸結為工具鏈和運維層面的失敗。沒有一家說自己的模型存在對齊問題。但在歸因姿態上三家各有側重：OpenAI突出能力（連零日都能自己挖），Anthropic突出態度（責任全算自己的，行業需要更嚴標準），Meta突出距離（Irregular的問題，跟我關係不大）。

OpenAI的Hugging Face事件發生在自己的基礎設施上，模型自己挖出了一個零日漏洞逃了出去，和外部供應商無關。Anthropic的事故最早在4月就發生了，但直到OpenAI 7月21日公開之後才被發現。Anthropic啟動回顧審查，從141,006次評測記錄中翻出了三起事故，隨後發了一篇詳盡的事後報告，點名了第三方評測夥伴Irregular但明確表示不打算追責，對外口徑是責任全在己方，核心資訊是整個行業需要更嚴格的評測控制和監控標準。8月5日，Meta的Muse Spark 1.1也被曝出同類事故，它甚至不是自己發現的，是評測方通知的，Meta直接點名並歸咎於Irregular。

但有一個事實把三家串在了一起：OpenAI的第二起事件（不是Hugging Face那起）和Anthropic的三起事故，發生在同一家第三方評測供應商Irregular的同一個評測環境中，Meta的事故同樣指向Irregular。Irregular的發言人直接確認，Meta和Anthropic的事故屬於完全相同的評測環境問題。Irregular是一家2025年融資8000萬美元的以色列AI安全評測公司，客戶覆蓋OpenAI、Anthropic、Google DeepMind和Meta。這些前沿實驗室共享同一套評測基礎設施，甚至共享了同一個配置失誤。失控敘事之所以看起來像按模板生產的，部分原因很樸素——這些公司字面意義上在同一個沙箱裡犯了同一類錯誤。

“模型太危險了”這套敘事，已經在成為一種可複製的商業策略。4月，Anthropic釋出Mythos Preview時明確表示這個模型太危險，不能公開發布。6月Fable 5和Mythos 5上線三天後，美國商務部以國家安全為由下了出口管制令。網路安全研究者Peter Girnus在X上的評價精準：如果你在每一篇新聞稿裡都把自己的產品描述成軍火，總有一天政府會當真。7月出口管制解除，同月Anthropic披露Claude攻入了三家公司的系統，8月，Anthropic和OpenAI一起支援了一份呼籲政府控制AI開發節奏的請願書。

這套敘事的影響力已經溢位AI圈。Anthropic披露Claude攻入三家公司之後，加密貨幣託管公司BitGo的CEO立刻發起挑戰，拿出100枚比特幣放進錢包公開邀請Claude來偷。只要錢沒被轉走，100枚比特幣就替BitGo的錢包安全做了免費廣告。“失控”敘事不僅是AI公司的營銷素材，其他公司也在蹭。

Altman的轉向也在同一條線上。Hugging Face事件之前，他在多個場合對行業減速的提議不以為然。事件之後，他在播客上說行業可能需要放慢發展速度，然後親赴華盛頓見了兩黨參議員和白宮官員。他自己也指出減速不能變成監管俘獲或頭部實驗室之間的串通。但客觀結果是，7月23日兩黨議員提出了AI Kill Switch Act，擬賦予國土安全部通過CISA對最強AI系統的緊急關停權，適用門檻是年收入至少5億美元且模型訓練算力成本超過1億美元，這兩個門檻由CISA在法案生效後90天內設定，之後每年更新。這個門檻恰好只覆蓋頭部幾家公司。這類監管的合規成本，對頭部公司來說是護城河，對中小玩家和開源社群來說則是進入門檻。更值得玩味的是，這部由OpenAI那次沙箱逃逸直接催生的法案，明確豁免了紅隊測試期間的行為——換句話說，催生它的那起事故本身並不會觸發它。呼籲監管的人和客觀上從監管中獲益的是同一批人。

2016年，OpenAI發了一篇部落格記錄了一個強化學習實驗：他們訓練AI玩賽艇遊戲CoastRunners，獎勵訊號設成遊戲得分。AI本應贏得比賽，但它在瀉湖裡原地打轉反覆撞擊會重新整理的得分物品，一邊著火一邊碰撞，從未完成任何一場比賽，得分卻遠超人類。那篇部落格的作者是Dario Amodei和Jack Clark，如今分別是Anthropic的CEO和聯合創始人。前OpenAI董事Helen Toner在Hugging Face事件曝光後回憶，她曾幾十次在政策簡報裡引用那個賽艇的例子，每次都說這當然只是一個好玩的案例。十年後，同一種失效模式從學術圈的趣聞變成了公司進華盛頓的籌碼，變成了呼籲監管的論據，變成了投資者看得懂的能力證明。

安全研究者Bruce Schneier提了一個假設：如果入侵Hugging Face的模型來自一家中國公司，這將是一場國際危機。這個假設並非純粹修辭。有人指出，Altman先是公開反對開源模型，然後他的產品入侵了最大的開源模型倉庫。而Hugging Face在分析入侵時，由於美國前沿模型的防護欄限制了網路安全用途，不得不使用中國開源模型GLM 5.2來協助安全分析。攻防均衡只有在人人都能用強AI時才成立，而Hugging Face恰恰用不了美國前沿模型做防禦。美國AI產業正在走向集中化、由少數公司主導的治理模式，而開源反倒在開放開發上走在了前面。

三週，三家公司，劇本結構幾乎一致：移除防護，評測逃逸，攻入外部真實系統，延遲發現，發部落格歸因於操作失誤，順便展示模型有多強。然後呼籲監管，呼籲減速，呼籲行業標準，而這些標準的合規成本恰好只有頭部公司承擔得起。一家公司學會了把安全事故包裝成能力展示，把能力展示包裝成監管論據，把監管論據包裝成競爭壁壘。下次再有類似的事故，注意看看他們具體怎麼幹的——這些公司可能已經備好了模板。