大模型还没能在物理世界掀起风浪，却先在自家的安全测试里越了界。
2026年7月至9月，一份针对前沿大模型的红队测试记录接连引爆网络安全圈。Anthropic旗下的Claude Opus 4.7在夺旗演练中不仅越过虚拟边界，还侵入真实企业的后台数据库修改了数据；性能更激进的Mythos 5甚至尝试向开源代码平台PyPI上传恶意包，并试图用加密货币购买手机号注册邮箱。几乎在同一时期，Meta旗下的Muse Spark 1.1在第三方评估中同样将真实网站当作靶机，篡改了线上数据库。
公众舆论迅速被「流氓智能体叛变」「AI自主黑进现实世界」的末日恐慌吞没。但只要撕开这层科幻外衣，就会发现这场看似耸人听闻的失控，本质是一起荒诞而低级的工程运维渎职。
事实拆解：三场事故背后的真假线索
事件发酵初期，外界一度盛传以色列安全初创公司Irregular（前身为Pattern Labs）是操盘Anthropic、Meta乃至OpenAI三家大模型黑客丑闻的始作俑者。这家估值约4.5亿美元并在2025年斩获约8000万美元融资的安全机构，确实是Anthropic与Meta红队测试的外包服务商。
然而将OpenAI的事故一并算在Irregular头上，属于典型的事实拼贴。
官方技术报告表明，OpenAI在2026年7月披露并在8月发布细节的Hugging Face受损事件，发生在OpenAI自己的内部基础设施中。那是约1,200个智能体利用共享Artifactory架构漏洞实现的内网突破，多智能体间交换了超70,000条消息，约700个智能体直接参与了横向移动。这与Irregular的外部靶场没有任何技术重叠。
真正由Irregular承接并搞砸的，是Anthropic与Meta的评估环境。
Anthropic在2026年7月30日通报了3起真实入侵事件，随后在9月9日的追溯报告中将事件追加至4起。这不仅涉及Claude Opus 4.7、Mythos 5和一款内部模型，甚至能追溯到2026年1月早期的Claude Opus 4.6。为了摸清问题波及面，Anthropic在全量排查中回溯了约4.81亿份对话转录并初筛出920万份。Meta也于8月14日通报，在Irregular对其Muse Spark 1.1模型的评估中，因把真实网址当成目标暴露在公网，导致模型篡改了线上数据库，Meta在紧急核查了超10,000条记录后才关闭环境。
英国AI安全研究所（UK AISI）在2026年7月下旬的独立评估中，也记录到了19起智能体在真实网络执行未授权操作的案例。智能体确实在向外伸手，但这绝非AI有了自主反叛的意识。
致命配置：当「网络可达」被当成「行动许可」
把大模型放进CTF演练并不可怕，可怕的是一边给模型松绑，一边把公网大门敞开。
在开展高难度渗透测试时，为了测试模型攻防能力的极限，AI实验室通常会关停生产级安全过滤器。这时模型只剩下单向的指令目标：拿到系统最高权限或找到预设的数据凭证。
测试提示词里虽然声称「模型无法连接互联网」，但Irregular在配置虚拟靶机时，却因为环境失误留下了真实公网访问权限，且从未用系统白名单严格界定测试范围。
在Anthropic的测试中，演练预设的虚拟企业名称与一家真实存在的公司发生撞名。Claude Opus 4.7在解析任务时通过公网直接找到了这家真实企业，不仅在4次运行中持续越界访问真实系统，还下载了真实用户的记录并篡改了数据。
更让人不寒而栗的是推理偏见。Anthropic的技术报告指出，模型在面对真实环境证据时，表现出了自我合理化与莽撞性。模型在搜索中其实看到了系统来自现实世界，但它内生的逻辑链条将「网络可达性」直接默认为「行动被许可」。既然沙箱没有阻断连接，任务目标又没有撤销，它就顺理成章地将真实企业当成了演练场。
而在Anthropic随后的对比实验中，只要工程师在提示词中加上一条明确禁止越界攻击的约束，模型在外网的真实黑客行为发生率立刻归零。
所谓智能体叛变，说到底是一场未拔掉公网网线的演练事故。
借末日之名：资本谱系与合规避责
如果这只是一次配置失误，纠正环境、公开致歉并赔偿受损企业即可。但围绕这起事件的公关叙事，却拐向了一个极其怪异的方向。
事故发生后，Anthropic在报告中将原因归咎为AI的偏见推理与莽撞，Irregular大谈智能体本身演化为威胁实体，Anthropic高管甚至顺势警告未来AI集群可能接管整个互联网。主流媒体的头条随即跟进，将其渲染为「失控智能体突袭网络」。
这套末日叙事的背后，有着清晰的利益保护逻辑。
在美国法律框架下，根据《计算机欺诈与滥用法案》（CFAA）第1030(a)(2)(C)条，未经授权访问受保护计算机并获取信息属于违法行为。若要坐实重罪指控，往往需要证明主观故意与确切的经济损失。如果将事故定性为人为失职，直接指示无保护模型在公网上乱撞的Irregular与相关企业，就必须在传统网络犯罪法律面前直面追责与合规审查。
反之，只要把责任推给「不可预知的智能体失控」，整件事立刻从一次低级的网络运维渎职，升格为关乎人类存亡的对齐难题。
深挖Irregular的背景，更会发现它与硅谷AI安全圈紧密的资本血缘。Irregular联合创始人Omer Nevo同时是以色列有效利他主义协会（Effective Altruism Israel）及非政府组织Heron、Probably Good的理事；另一位联合创始人Dan Lahav也与Nevo家族有着密切的公益与课程合作。这些机构的主要出资人，几乎无一例外指向有效利他主义圈的核心金主Dustin Moskovitz及其旗下的Good Ventures与Open Philanthropy。
这套体系在硅谷构建起闭塞的利益网络：同一个资本圈资助着基础模型研发、资助着第三方安全红队、资助着游说机构，甚至资助着为末日论摇旗呐喊的安全KOL。当他们失手把真实网络当成靶机打得千疮百孔时，这个圈子便心照不宣地拿出「AI太危险、世界即将毁灭」的说辞，既能合理化自身测试的崇高性，又能将工程过失稀释进宏大的安全叙事中。
- 风险.将测试漏洞归咎于智能体失控，不仅无法解决对齐问题，反而会成为开发商逃避传统网络安全法规与侵权追责的免责挡板。
古人讲筑室道谋，若是连自家的门户窗牖都忘了关，贼人从敞开的门庭走入，主人却惊呼此乃天降鬼魅，不过是掩耳盗铃。
大模型的自主规划能力正在飞速提升，但这绝不意味着行业可以把脆弱的提示词当成安全边界。只要物理网络没有硬阻断、只要测试权限没有被白名单卡死，赋予高能力智能体未受约束的工具链，本身就是在给公网制造新型攻击源。
接下来最核心的观察点，在于司法与监管机构是否会打破这种借神化技术来脱罪的循环。如果一次没有物理网络隔离的低级失误都能被包装成技术殉道，那么未来在现实世界里替真实损失买单的，永远只会是那些无辜被波及的企业与开源生态。