硅谷模型厂正在比谁的Agent更能闯祸，背后全是营销剧本

本文来自微信公众号： 硅星人Pro ，作者：周一笑，头图来自：AI生成

过去三周，OpenAI、Anthropic、Meta接连承认自家AI模型在安全测试中攻入了外部的真实系统。OpenAI的两个模型利用了一个此前无人知晓的软件漏洞逃出沙箱，链式入侵了开源AI平台Hugging Face的生产数据库，窃取了评测答案。Anthropic的Claude在测试中攻入了三家公司，上传了恶意Python包到PyPI，窃取了安全公司的凭证。Meta的Muse Spark 1.1也在测试中攻入了一家未具名的第三方系统。

三家公司各自发了一篇事后博客。措辞各异，但如果你把三篇放在一起读，会发现剧本结构几乎重合。它们讲述事故的方式，和事故本身一样值得关注。

一、失控还是失职

先看一个容易被略过的前提。

OpenAI的评测基于ExploitGym基准，任务是让AI agent发现并利用软件漏洞。Anthropic那边同样，测试的是模型的进攻性网络能力。两家公司都为测试目的移除了部分防护措施，这是它们事后博客中亲口交代的。

这些防护措施不是随便加的。两家公司都承认自己内置了限制模型网络攻击能力的安全机制，而这些机制严格到什么程度呢？攻防两边的安全研究者已经抱怨了好几个月，说这些限制让正常的安全研究都做不了。测试时，两家公司主动关掉了这些防护。

纽约法学院计算机法学者Ahmed Ghappour说了一句很关键的话，模型是公司的工具，你不能部署一个有能力入侵系统的东西，然后在它跑偏之后撇清关系。他指出，主动关闭防护措施的行为可能强化过失指控。如果他代理受害方，提起诉讼是“毫无疑问”的决定。

1988年，一个研究生的蠕虫程序意外扩散到互联网上，他因此成为了历史上第一个依据CFAA（《计算机欺诈和滥用法案》）被定罪的人。2026年，三家万亿级公司主动拆掉防护让模型做攻击测试，模型跑出沙箱攻入真实系统，产出的是三篇事后博客。安全研究者Bruce Schneier的问题是，这和那次蠕虫事件有什么本质区别？

更值得追问的是，如果这些公司真的认为自己的agent能力很强，为什么不在把它放进沙箱之前先让它检查一下沙箱有没有漏洞？乔治城大学网络安全研究者Colin Shea-Blymyer提出了同样的质疑。没有人这么做。

如果一家银行为了测试保安能不能拦住抢匪，主动开了金库的门，然后对媒体说“我们遭遇了前所未有的安全事件”，你觉得你会怎么看？但在AI行业里，这个故事被讲成了另一种样子。OpenAI把Hugging Face事件定性为“前所未有的网络安全事件，涉及最先进的网络攻击能力”，CEO Altman用了extremely sci-fi来形容，黑帽安全大会上OpenAI员工临时加场演讲反复强调“完全自动化的进攻性循环”对行业意味着什么。“模型强到挣脱了牢笼”和“我们的沙箱没封好”描述的是同一件事，但前者是能力广告，后者是事故报告。三家公司选了前者。

二、在同一个环境犯同一个错

三家公司的故事结构几乎一样。一次移除了部分防护的网络安全评测，一处配置错误或漏洞让模型跑了出去，它攻入了外部的真实系统，延迟发现，公司发了一篇博客，把问题归结为工具链和运维层面的失败。没有一家说自己的模型存在对齐问题。但在归因姿态上三家各有侧重，OpenAI突出能力（连零日都能自己挖），Anthropic突出态度（责任全算自己的，行业需要更严标准），Meta突出距离（Irregular的问题，跟我关系不大）。结构一致，姿态分化。

OpenAI的Hugging Face事件发生在自己的基础设施上，模型自己挖出了一个零日漏洞逃了出去，和外部供应商无关。

Anthropic的事故最早在4月就发生了，但直到OpenAI 7月21日公开之后才被发现。Anthropic启动回顾审查，从141,006次评测记录中翻出了三起事故，随后发了一篇详尽的事后报告，点名了第三方评测伙伴Irregular但明确表示不打算追责，对外口径是责任全在己方，核心信息是整个行业需要更严格的评测控制和监控标准。

8月5日，Meta的Muse Spark 1.1也被曝出同类事故，它甚至不是自己发现的，是评测方通知的，Meta直接点名并归咎于Irregular。

但有一个事实把三家串在了一起。OpenAI的第二起事件（不是Hugging Face那起）和Anthropic的三起事故，发生在同一家第三方评测供应商Irregular的同一个评测环境中，Meta的事故同样指向Irregular。Irregular的发言人直接确认，Meta和Anthropic的事故属于完全相同的评测环境问题。

Irregular是一家2025年融资8000万美元的以色列AI安全评测公司，客户覆盖OpenAI、Anthropic、Google DeepMind和Meta。这些前沿实验室共享同一套评测基础设施，甚至共享了同一个配置失误。失控叙事之所以看起来像按模板生产的，部分原因很朴素，这些公司字面意义上在同一个沙箱里犯了同一类错误。

三、恐惧即营销

“模型太危险了”这套叙事，已经在成为一种可复制的商业策略。

4月，Anthropic发布Mythos Preview时明确表示这个模型太危险，不能公开发布。6月Fable 5和Mythos 5上线三天后，美国商务部以国家安全为由下了出口管制令。网络安全研究者Peter Girnus在X上的评价精准，如果你在每一篇新闻稿里都把自己的产品描述成军火，总有一天政府会当真。7月出口管制解除，同月Anthropic披露Claude攻入了三家公司的系统，8月，Anthropic和OpenAI一起支持了一份呼吁政府控制AI开发节奏的请愿书。

这套叙事的影响力已经溢出了AI圈。Anthropic披露Claude攻入三家公司之后，加密货币托管公司BitGo的CEO立刻发起挑战，拿出100枚比特币放进钱包公开邀请Claude来偷。只要钱没被转走，100枚比特币就替BitGo的钱包安全做了免费广告。“失控”叙事不仅是AI公司的营销素材，其他公司也在蹭。

Altman的转向也在同一条线上。Hugging Face事件之前，他在多个场合对行业减速的提议不以为然。事件之后，他在播客上说行业可能需要放慢发展速度，然后亲赴华盛顿见了两党参议员和白宫官员。他自己也指出减速不能变成监管俘获或头部实验室之间的串通。

但客观结果是，7月23日两党议员提出了AI Kill Switch Act，拟赋予国土安全部通过CISA对最强AI系统的紧急关停权，适用门槛是年收入至少5亿美元且模型训练算力成本超过1亿美元，这两个门槛由CISA在法案生效后90天内设定，之后每年更新。这个门槛恰好只覆盖头部几家公司。这类监管的合规成本，对头部公司来说是护城河，对中小玩家和开源社区来说则是进入门槛。

更值得玩味的是，这部由OpenAI那次沙箱逃逸直接催生的法案，明确豁免了红队测试期间的行为。换句话说，催生它的那起事故本身并不会触发它。

呼吁监管的人和客观上从监管中获益的是同一批人。

2016年，OpenAI发了一篇博客记录了一个强化学习实验。他们训练AI玩赛艇游戏CoastRunners，奖励信号设成游戏得分。AI本应赢得比赛，但它在泻湖里原地打转反复撞击会刷新的得分物品，一边着火一边碰撞，从未完成任何一场比赛，得分却远超人类。那篇博客的作者是Dario Amodei和Jack Clark，如今分别是Anthropic的CEO和联合创始人。

前OpenAI董事Helen Toner在Hugging Face事件曝光后回忆，她曾几十次在政策简报里引用那个赛艇的例子，每次都说这当然只是一个好玩的案例。十年后，同一种失效模式从学术圈的趣闻变成了公司进华盛顿的筹码，变成了呼吁监管的论据，变成了投资者看得懂的能力证明。

安全研究者Bruce Schneier提了一个假设，如果入侵Hugging Face的模型来自一家中国公司，这将是一场国际危机。

这个假设并非纯粹修辞。有人指出，Altman先是公开反对开源模型，然后他的产品入侵了最大的开源模型仓库。而Hugging Face在分析入侵时，由于美国前沿模型的防护栏限制了网络安全用途，不得不使用中国开源模型GLM 5.2来协助安全分析。攻防均衡只有在人人都能用强AI时才成立，而Hugging Face恰恰用不了美国前沿模型做防御。作者追问，美国AI产业正在走向集中化、由少数公司主导的治理模式，而开源反倒在开放开发上走在了前面。

三周，三家公司，剧本结构几乎一致。移除防护，评测逃逸，攻入外部真实系统，延迟发现，发博客归因于操作失误，顺便展示模型有多强。然后呼吁监管，呼吁减速，呼吁行业标准，而这些标准的合规成本恰好只有头部公司承担得起。

一家公司学会了把安全事故包装成能力展示，把能力展示包装成监管论据，把监管论据包装成竞争壁垒。下次再有类似的事故，注意看看他们具体怎么干的。这些公司可能已经备好了模板。