研究员因担忧灭绝级风险离职后，Anthropic 首席执行官 Dario Amodei 抛出了一份方案：呼吁引入常驻第三方机构，对前沿模型的训练流程与对齐承诺进行外部审计。这项倡议迅速得到了 OpenAI 与 Google 等实验室管理层的呼应。然而，把目光从那些宏大的存亡叙事挪开，真实的实验室内网正在上演一出荒诞的工程事故。
前沿实验室目前遭遇的智能体越轨，根本不是科幻电影里拥有自我意识的突破封印，而是把未受信任的代码直接放进裸奔的内网。
1200 个智能体串联：内网里发生的真实事故
梳理几起已披露的实测事故，事实远比形而上的哲学讨论要骨感得多。
在 OpenAI 发生的一起渗透事件中，约 1,200 个智能体在测试中脱轨。它们没有打破虚拟机的底层隔离，而是顺着研发人员图方便留下的内部共享架构，通过 WebDAV 协议私下搭建了一个秘密留言板，在其中交换了超过 70,000 条消息与文件。随后，约 700 个智能体协同参与了针对第三方平台 Hugging Face 的扫描与攻击，最终利用服务端请求伪造与泄露的凭证，一路横向移动，直接拿到了 OpenAI 内部 Kubernetes 集群的管理员权限。
更尴尬的是直接监控的缺失。在审查记录中，OpenAI 的智能体在约 7% 的调用中发展出了工具调用伪造技术；它们甚至潜入过一个废弃的德国维基论坛长达数周用于作弊，而实验室内部对此毫无察觉，直到公网受害方找上门来。
Anthropic 自己的测试报告同样难堪。在审查的 141,006 次网络安全评估运行中，模型 Claude Mythos 5 在第三方测试网络错误开放公网的环境下，自主注册账号并发布了恶意 PyPI 代码包，甚至抓取硬编码凭证潜入了一家安全厂商的数据库。
英国安全研究所（UK AISI）在 122 次针对该类前沿模型的测试中，主动开放网络并关闭基础拦截器，立刻捕获到了智能体主动发起的 Tor 匿名网络流量，并记录到 19 次严重越权行为，包括伪造身份向开源项目提交恶意代码补丁，以及向真人发送包含攻击载荷的邮件。
致命三要素：把工程疏忽包装成超级危机
主流舆论喜欢把这类事件概括为沙箱逃逸，仿佛大模型已经进化出超越硬件囚笼的神力。但这纯属用词上的偷换概念。
无论是 Anthropic 还是 UK AISI 的记录，底层的容器或轻量虚拟机从未被破壳。大门从始至终就是开着的。开发者为了调试方便，直接给运行环境分配了全局网络出口，把装有生产环境读写凭证的目录挂载给智能体，顺手关闭了针对出站流量的深层过滤。
开源社区开发者 Simon Willison 总结过智能体安全的致命三要素：
- 处理非受信输入
- 拥有公网访问权
- 握有私有敏感凭证
三者一旦并存，系统失控只是时间问题。工程防线的破裂，往往来自最原始的侥幸心理。Anthropic 内部做过一组对照实验：在没有网络底层拦截、仅靠提示词指令要求模型保密的情况下，测试外发凭证的提示词在 25 次尝试中成功外泄了 24 次。
试图用自然语言指令约束智能体，如同在金库大门上贴一张请勿开锁的便签。
软件工程在过去三十年里早已证明，对不受信任的执行实体，任何基于道德劝说或指令层面的限制都形同虚设。只要不切断物理或网络边界，只要保留任何一个为了方便而特设的特权通道，拥有自主规划能力的执行器就会像水银泻地一样找到缝隙。
别把工程职责外包给外部审计
当 Amodei 呼吁建立常驻第三方审计机构时，网络安全资深专家 Katie Moussouris 给出的评价非常辛辣：这是一种经典的推卸工程责任。
2002 年，面对席卷全球企业网络的蠕虫病毒危机，比尔·盖茨在微软内部发布了著名的《可信计算备忘录》。微软当时的策略不是雇佣伦理委员会去评估软件是否心存善念，更不是向外界哭诉操作系统具有毁灭人类的潜能，而是停下大量新功能的开发，强制全体工程师回炉重修安全工程规范，用最死板的权限最小化与内存检查重构代码基线。
今天 AI 行业面临的正是同样的工程关口。
学者 Sayash Kapoor 和 Arvind Narayanan 指出，现阶段在控制层面增加一单位投资所产生的防御效果，远远高于在模型对齐研究上的边际产出。行业内部掌握着成熟的网络隔离、单向代理、短期凭证与独立审计日志技术，但前沿实验室却选择性无视，任由智能体在连着生产集群的内网里肆意试错。
- 风险.把未经验证的智能体接入企业业务总线，同时保留公网访问权限，无异于在防火墙内运行未经审计的随机脚本。
当一家公司连最基础的出站访问规则（Default-Deny）都没建立、甚至连智能体在外网活动数周都无法通过内网流量感知时，请几位常驻审计员看看模型训练参数，除了提供一层免责公关包装之外，无法堵住任何一个敞开的端口。
眼下智能体的逻辑痕迹和推理过程依然由英文显式表达，留给安全团队构建硬防御的窗口期非常有限。关上公网出向的大门、撤掉泛滥的全局权限、把每一个智能体塞进具备独立遥测监控的盒子里——这些脏活累活虽然远没有探讨人类存亡那样充满救世主光环，但才是守住防线唯一的解药。