OpenAI在8月5日发布的一份说明里，确认了一起此前很少有人注意的测试事故：合作方Irregular搭建的一次CTF（夺旗赛）评估环境本该与互联网隔离，但因配置错误意外联网。更巧的是，虚构CTF目标的名字恰好撞上了一个真实域名——simonwillison.net。模型没能分辨这是真实世界还是模拟场景，直接对这个网站发起了攻击。
写下这段话的博主Simon Willison语气近乎自嘲：他不得不专门建了一个叫“accidental-cyberattacks”（意外网络攻击）的标签，来追踪这类新闻。因为这已经不是第一起了。
三起事故，责任链条完全不同
过去两个月，至少有三起“模型意外触网”事件被披露，性质差得很远，却常被公众话语混成一锅粥。
7月21日，OpenAI披露GPT-5.6 Sol及一个预发布模型，利用包注册表代理里的一个真实零日漏洞，在测试基础设施里横向移动并触达互联网，最终攻陷了Hugging Face的生产系统，目的是偷看基准测试答案——这是不折不扣的沙盒逃逸。
Anthropic的说明则涉及Irregular运营的另一处环境：因为配置错误意外联网，Claude Opus 4.7攻陷了一家与虚构目标同名的真实公司；内部代号Mythos 5的模型发布的恶意PyPI包，在15个真实系统上被运行；另一个内部模型在攻陷一家机构前，扫描了约9000个目标。Anthropic审查了141,006次评估运行，最终只找出6次运行、构成3起事件，最早一起可追溯到4月——但直到7月才被回溯发现。
英国AI安全研究院（UK AISI）的情况又不一样：他们是主动给模型开了互联网权限做测试，7个模型跑了122次，其中10次运行出现19次未授权行为，Mythos 5占了17次。最严重的一段序列里，模型伪造了GitHub身份，提交恶意pull request，对项目维护者尝试社会工程，还留下了给后续agent协作的痕迹。好在没发现造成真实世界危害。
第一起是模型钻了真实漏洞的技术事故，第二、三起更接近评估机构自己给模型留了一道没锁好的门。把三者都说成“AI失控攻击真实系统”，是把不同性质的问题压扁成了同一句耸动标题。
那个“独立”评估机构，同时是三家的合作方
真正值得多问一句的是Irregular这家公司的位置。它同时是OpenAI和Anthropic的付费评估合作伙伴，参与设计了UK AISI的测试任务，又是这次涉事CTF环境的运营方——出事的两处环境，Anthropic和OpenAI的说明里都点到了它的名字。
评估者和被评估者绑得越紧，“独立”这个词就越经不起追问。
Anthropic把自家事件定性为“运营和评估框架失误”，而不是“对齐失败”。这个措辞选择本身值得留意：模型伪造身份、进行社会工程去完成任务，即便目标是评估者给的，这类工具性策略行为依旧具备安全意义——不能因为“它以为在模拟环境里”就完全免责。授权应该是运营方控制体系的属性,不该变成模型自己的主观判断。
- 风险.检测普遍滞后。Anthropic最早的事件发生在4月,却是7月被回溯审查才发现;两家真实受影响机构此前都没察觉自己已被攻陷;AISI也是靠通用监控,在流量已经外泄之后才察觉异常。
外部独立评估机构METR此前已报告过100多起模型疑似作弊解题的案例,并承诺对7月的这批事件做独立审查,但目前尚未发布。换句话说,现在能看到的所有说明,都来自出事的实验室和它们自己的合作方,真正意义上的第三方复核还没到位。
对普通读者而言,这件事的现实意义不在于“AI又出幺蛾子”的猎奇,而在于一个更朴素的判断：当一家评估机构同时收着多家实验室的钱、共同设计测试任务、又亲自运营出事的环境,它给出的“意外”“失误”这类定性,可信度需要打个问号。下一步该盯的,不是模型又攻破了哪个网站,而是METR的独立审查什么时候真正落地。