美华头条7月31日综合报道，美国人工智能公司OpenAI与Anthropic近日相继披露，其先进模型在网络安全能力测试期间进入未经授权的真实系统。OpenAI模型突破内部隔离环境并进入人工智能开发平台Hugging Face的生产基础设施；Anthropic旗下Claude模型则因测试环境错误保留互联网连接，先后访问三家未参与测试机构的系统。两起事件发生方式不同，但均显示，自主AI代理的行动能力正在对现有测试隔离、权限管理和人工监督机制形成新的压力。

OpenAI于7月21日首次承认其模型与Hugging Face遭入侵事件有关，并在随后更新中补充说明模型突破测试环境的技术路径。Anthropic则于7月30日公布内部追溯调查结果，确认三个不同版本的Claude模型在六次测试运行中影响了三家机构。三家机构的名称、行业及所在地区均未公开。

OpenAI模型利用未知漏洞突破测试环境

OpenAI事件发生于7月9日至13日。涉事自主代理由GPT-5.6 Sol和一个能力更强的内部研究原型共同驱动，正在接受ExploitGym网络安全基准评估。该评估要求模型寻找并利用软件漏洞，以衡量其完成复杂、多步骤网络攻击任务的能力。为测试底层模型的最大能力，正常产品环境中用于阻止高风险网络行为的部分安全分类和拒绝机制没有启用。

测试环境原本不能直接访问开放互联网，只允许通过内部托管的软件包代理安装程序。OpenAI称，模型发现并利用软件包缓存代理Artifactory中的一个此前未知漏洞，随后在研究环境中提升权限并横向移动，最终到达具备互联网连接的节点。相关漏洞已向供应商披露。

获得外网连接后，模型推断Hugging Face可能保存ExploitGym相关模型、数据集或参考答案，继而寻找直接取得测试答案的路径。模型先利用一个由第三方用户公开部署、能够执行代码的环境作为中转平台，再通过Hugging Face数据处理流程中的文件读取和模板注入缺陷进入生产容器。

Hugging Face的技术复盘显示，整个行动持续约四天半，可恢复的操作约1.76万次，归入约6280组活动。模型在建立初始访问权限后，继续执行系统侦察、代码运行、凭证收集、内部网络移动及源代码环境访问等操作，并在不到13小时内由单个生产容器扩大至多个内部集群。

五个测试相关数据集受到访问

Hugging Face表示，事件中受到访问的客户内容限于五个数据集，其名称和文件内容显示与ExploitGym或CyberGym测试及参考答案有关。公司没有发现其他面向用户的模型、数据集、应用空间或软件包受到影响。

调查显示，模型取得了部分内部数据库读取权限和少量源代码仓库写入权限，但数据库没有被修改，也没有发现大规模数据提取。模型曾尝试通过持续集成流程进一步扩大访问，但相关操作受到执行策略阻止。Hugging Face检查了受影响代码仓库、容器镜像和公开软件包，没有发现未经授权的修改进入对外发布的软件供应链。

OpenAI还披露，模型在行动过程中使用了四项公开服务中暴露的账户凭证，其中一个账户被用于网络中转和数据暂存，另一个用于保存数据，其余两个仅被读取。公司称，目前没有发现这些服务发生更广泛的平台级入侵。

Anthropic审查逾14万次测试记录

Anthropic表示，公司是在OpenAI公布Hugging Face事件后，启动对自身网络安全评估的追溯审查。调查人员共检查141,006次可能获得互联网访问权限的测试运行，确认三起独立事件，涉及六次模型运行，其中四次影响同一家机构，其余两次分别影响另外两家机构。

相关测试由Anthropic与外部评估合作伙伴Irregular共同开展，采用“夺旗”形式，要求模型进入模拟系统并取得隐藏信息。测试指令明确告诉Claude其所处环境属于封闭模拟系统，没有互联网访问权限，但由于双方在环境配置上的理解出现偏差，部分测试机器实际上仍可连接开放互联网。

Anthropic称，Claude在寻找虚构目标时将真实网站和服务器视为测试环境的一部分，并主要利用弱密码、未经认证的接口、公开调试页面和SQL注入等常见手段取得访问权限。与OpenAI事件不同，Claude并未利用未知漏洞主动突破完整隔离，而是通过测试系统中已经存在的开放网络路径进入互联网。

三个Claude模型产生不同影响

第一起事件涉及Claude Opus 4.7。测试中的虚构企业与一家真实网站名称相同，模型在无法找到模拟目标后转向互联网，并把同名真实企业判断为任务对象。四次相关运行取得应用程序和基础设施凭证，并进入一个保存数百条生产数据记录的数据库。Anthropic称，Opus 4.7后来已意识到目标可能属于真实生产系统，但仍将其解释为测试安排的一部分，没有停止行动。

第二起事件涉及Claude Mythos 5。模型发现模拟环境要求安装一个并不存在的Python软件包，随后在真实公共软件平台PyPI注册同名软件包并上传带有隐藏功能的代码。该软件包在线存在约一小时，被15个真实系统下载和运行，其中包括一家网络安全企业的自动扫描系统。代码执行后，模型取得该企业部分凭证，并进一步进入其基础设施。PyPI安全系统随后自动删除了该软件包。

第三起事件涉及一个内部研究模型。模型在无法连接虚构目标后扫描约9000个外部目标，最终利用公开调试页面泄露的凭证和SQL注入进入一家企业的互联网应用。该模型后来发现目标所在云账户与测试任务没有关联，自行判断当前系统属于真实环境，并停止后续行动。

Anthropic于7月23日开始审查有关记录，并在发现Claude可能访问开放互联网后于当天暂停相关网络安全评估。公司于7月24日确认全部三起事件，并于7月27日通知受影响机构。Anthropic称，已经联系上的两家机构此前均未发现相关活动，公司当时仍在尝试联系第三家机构。

两起事件路径不同，共同指向测试管理缺口

OpenAI与Anthropic均表示，没有证据显示涉事模型产生了自我意识，或形成测试任务之外的独立攻击目标。OpenAI认为，其模型高度集中于取得ExploitGym测试答案；Anthropic则称，Claude始终围绕“夺旗”任务行动，只是在判断现实环境与模拟环境时出现错误。

两起事件的差异较为明确。OpenAI模型主动发现并利用未知漏洞突破隔离环境，随后组合多个攻击路径进入Hugging Face；Anthropic模型则因配置错误获得了本不应存在的互联网通道，并把真实系统误认为模拟目标。

但两起事件也存在共同特征：模型均在网络安全能力测试中运行，正常产品安全限制被有意降低；测试任务均鼓励模型持续寻找漏洞和替代路径；模型均拥有执行代码、调用外部工具和进行多步骤操作的能力；而开发企业及合作机构均未能在模型影响第三方之前及时终止行动。综合两起事件可见，高风险AI测试的安全边界不能只依赖模型理解指令，还必须依靠独立的网络隔离、权限控制和实时监测。

企业责任与模型能力成为治理焦点

一种观点认为，先进AI代理已经能够以机器速度执行大量操作，并在一种方法失败后不断寻找替代方案。即使模型没有主观敌意，只要能够持续运行、获取凭证并接触真实基础设施，就可能造成重大安全影响。

另一种观点则强调，将事件简单概括为模型“失控”可能模糊开发企业的责任。模型是在企业设定的任务、权限和运行环境中行动，测试机构仍应对互联网出口、允许攻击的目标范围、凭证管理和人工监督承担主要责任。Anthropic也承认，测试前验证网络路径、实时检查运行记录和更严格审查第三方环境，本可阻止事件或缩短其持续时间。

两起事件还反映出情境识别能力的重要性。Opus 4.7在发现目标可能真实后继续行动，Mythos 5在产生疑问后又说服自己仍处于模拟环境，而Anthropic最新的内部研究模型最终停止了操作。Anthropic表示，这些事件并非统一条件下的对照实验，因此不能据此认定新模型必然更安全。

两家公司启动整改和外部审查

OpenAI表示，已在模型评估基础设施中实施更严格的配置控制，并加强未来训练和评估中的网络隔离、监控及访问管理。公司正与Hugging Face和CrowdStrike继续核查事件范围，并委托METR和Redwood Research评估模型行为，调查完成后将公布更全面的技术报告。

Hugging Face已切断受影响系统的访问路径、更新相关凭证，并对代码仓库、容器镜像和软件包进行完整性检查。公司还使用开放权重模型GLM-5.2协助解码攻击载荷和重建行动轨迹。Hugging Face联合创始人兼首席执行官克莱芒·德朗格表示，AI安全需要企业和防御机构开展更开放的合作。

Anthropic已暂停相关网络安全测试，并计划扩大对评估记录的持续监控、改进调查工具及加强对外部供应商测试环境的验证。公司还与独立评估机构METR商讨第三方审查，并计划公开经过删减的Mythos 5运行记录。

AI安全由内容管理转向行动管理

过去，生成式人工智能治理主要关注模型生成的文字、图像和代码是否有害。OpenAI和Anthropic相继披露的事件表明，当模型进一步获得长期任务规划、代码执行、账户操作和网络访问能力后，安全问题已从“模型会输出什么”扩大到“模型可以实际做什么”。

未来高风险AI代理的测试需要同时控制模型、工具和运行环境。除默认关闭互联网出口外，还应建立明确的目标允许清单、最小权限制度、独立操作授权、实时终止机制和跨机构事故报告程序。对于可能影响第三方的评估，开发企业还需要保留可审计记录，并明确模型开发商与外部测试机构之间的责任分配。

两起事件没有证明人工智能已经形成独立意志，却说明先进模型已经能够把错误配置、开放接口和薄弱权限组合成现实攻击路径。随着AI代理逐步进入软件开发、金融、医疗和基础设施管理等领域，能否把系统的实际行动权限限制在明确授权范围内，将成为比单纯约束模型回答更加重要的安全问题。