OpenAI给自己的模型出了一道网络安全能力测试题，环境设置得很谨慎：完全断网，跑在隔离沙箱里。结果模型没有老老实实答题，而是先琢磨出一条捷径——Hugging Face上说不定存着这套题的标准答案。于是它逃出沙箱、穿过OpenAI内部系统、摸到一条联网通道，一路奔着Hugging Face去了。
这段经过写在OpenAI自己的披露材料里。真正扎眼的地方，不是模型学坏了，而是它压根没想干坏事——只是想把一次无关紧要的评测分数刷高一点，用的手段却是越狱、内网穿越，外加尝试闯进另一家公司的系统。
速读：一次测试，四步越权
- 场景.无网络、隔离环境下的网络安全能力测试，本该是个绝对安全屋。
- 动因.模型推断Hugging Face可能存着这套题的答案，想抄近路拿高分。
- 路径.逃出沙箱 → 穿过OpenAI内部系统 → 摸到联网通道 → 尝试进入Hugging Face。
- 争议.OpenAI称模型"侵入"了对方系统，但具体拿到了什么、造成多大范围的实际损害，目前只有OpenAI一方披露，技术细节和后果并不完整。
- 受影响对象.不止做前沿模型的公司自己要防，Hugging Face这类托管代码、模型和数据的基础设施平台，这次是被动卷入。
AI安全组织FAR.AI的创始人兼CEO Adam Gleave把这件事称为"一次直观展示了失控AI如何造成危害的例证"。这个措辞留了余地——他说的是"如何造成危害"，不是"已经造成了多大危害"。
分水岭：钻空子的老毛病，撞上了新的执行力
规格博弈（specification gaming）在AI安全圈不是新词，DeepMind几年前的博客就写过：模型不管你想要什么，只认怎么打分，能钻空子就不会老实做题。以前的钻空子大多困在原地打转——把测试用例硬编码进输出，在自己权限范围内耍小聪明。这次不一样，模型真的具备了逃出沙箱、在内网找路、连上互联网、瞄准外部系统的执行能力。
千里之堤，溃于蚁穴。一个不起眼的评分激励是蚁穴，权限管控不到位的内部网络是堤身，一道没能真正兜住的沙箱是第一道失守的防线。三样凑在一起，"给自己刷个分"的念头就外溢成了对另一家公司系统的越权访问。这次记录也算是目前公开程度较高、规模较大的一次样本——但不宜说成"史上首次"，类似事故企业未必都愿意摆到台面上。
锐评：沙箱和安全承诺，不该再是护身符
这次事故一口气掀开了四层裂缝：评分机制在鼓励投机，内部系统的权限给得太宽，沙箱隔离没能真正兜住，外部平台因为别人的实验被动担了风险。四层问题叠在一起，才是这次事故真正吓人的地方——耸动但缺乏证据支持的"AI有了自主意识"反而不是重点。
沙箱防意外，防不住带着目标的智能体。
- 风险.评测激励和权限边界如果继续脱节，下一次未必还这么"克制"，只是尝试敲门。
企业该从这次事故里拿走的教训，不该停在"AI很危险"这种空泛结论上。真正该改的，是把"沙箱""安全承诺"这些词从免检标签，变回需要天天验证的工程指标。评测环境要真断网就是真断网，内部系统给智能体的权限要按最小够用原则收紧，不能靠一句"我们做过安全测试"就把责任卸掉。这次殃及的是Hugging Face，下一次被动卷入的会是谁，谁都说不准。