AI智能体的网络安全噩梦才刚刚开始-网络与安全-至顶网

AI智能体不会轻易放弃。它们被训练成像人类一样推理，会寻找解决问题的最简单方式，哪怕这意味着打破规则、悄悄溜上网络、攻击一个毫无防备的网站。

这正是今年夏天，OpenAI在测试环境中的一组模型实际发生的事情——尽管它们本不应该能访问互联网。这些模型相互协作，找到了一个意想不到的漏洞，并成功上线。

接下来发生的事，成为AI领域这个夏天最重大的新闻：这些智能体入侵了AI平台Hugging Face，试图借此获取任务答案。

这起事件，以及与之类似的其他事件——Anthropic和Meta的智能体也曾从测试环境中攻击外部网站——引发了关于如何保障互联网安全的新一轮追问。在这个新的世界里，黑客攻击已被AI模型自动化，它们不需要吃饭睡觉，也不一定遵守人类通行的规范和规则。

延伸阅读：OpenAI暂停新AI模型训练，援引网络安全担忧

尽管AI公司和政府机构对这些事件的回应，重点都放在前沿模型（来自开发者实验室的最新、最强模型）上，但问题的根源并不在于新模型有多聪明，而在于AI制造了一个快速涌现的黑客群体——它们可能会搞破坏，即使被明确告知不能这样做。

"标题写起来很抓眼球，但真正的故事其实无聊又老套，"网络安全专家、Secure.com创始成员Yasir Zahid在一封电子邮件中评论OpenAI-Hugging Face黑客事件时说，"一个有目标、又缺乏防护的系统，会不断试探，直到找到出路。人类攻击者速度更慢，这个模型速度很快。"

网络安全专家表示，前沿模型的风险不容小觑，因为它们非常擅长发现代码缺陷。但即便是目前市面上已有的模型，包括更便宜、更易定制的开放权重模型，其能力也足以让业内人士彻夜难眠。

"实际情况比已报道的更糟糕，未来几个月我们将看到更多令人警觉的消息，"网络安全公司Ridge Security的CEO Nick Mo在电子邮件中告诉我。

团队合作让问题更棘手

先从OpenAI-Hugging Face事件说起。今年8月，两位OpenAI研究人员在黑帽网络安全大会上详细披露了事件经过。这场演讲——讲述的是就在几周前发生的事——堪称科技圈的"病毒时刻"。一家公司公开、详细地披露自己的产品如何在测试中突破护栏、入侵另一家公司——这在行业内极为罕见。（披露：Ziff Davis，CNET的母公司，于2025年对OpenAI提起诉讼，指控其在训练和运营AI系统时侵犯了Ziff Davis的版权。）

这起事件的核心在于：多个不同的AI智能体，包括一些基于未公开内部模型的智能体，能够相互通信和协作。OpenAI发现，这些模型在一个它们自己创建的内部留言板上互相"聊天"。当公司关闭那个留言板后，智能体们又悄悄建了另一个，更隐蔽地藏在文件夹名称中。

它们交换信息，讨论如何解决问题、克服障碍——毕竟它们被分配的任务有时近乎不可能完成。其中一个障碍是：它们没有被授权访问外部互联网。但它们拥有包管理器的访问权限——一种可以下载工具的软件——而这恰恰可以被利用。这是墙上的一道裂缝，智能体们借此得以触达外部世界，并将这一信息彼此共享。

"随着时间推移，这将带来一种类似寒武纪大爆发的通信与智能演化——我们的模型开始相互沟通，意识到其他智能体也在协调行动，进而开始合作，并相互委派任务以实现目标，"OpenAI的Eric Wallace在黑帽大会演讲中说道。

这种多智能体协作正是主体性AI在编程、处理复杂行政任务，以及在计算机上同时高效完成大量工作方面表现出色的重要原因。但这也意味着，错误、错误信息或漏洞利用可以像即时传话游戏一样迅速蔓延。

"如果其中一个智能体学会了一种你不希望它用的方式来获取信息，这条路径几乎会立即传播开来，"研究AI安全的Forrester副总裁兼首席分析师Jeff Pollard在采访中说。

这些智能体的任务并非入侵任何人，而且引发漏洞利用的任务最终被证明是不可能完成的。（例如，OpenAI的研究人员忘记了提供一个必要文件。）但Wallace表示，前沿模型"非常喜欢作弊"，因为它们被训练成要坚持追求解决方案、绝不放弃。

一个重要的启示是：即使你并无此意，AI智能体也可能把事情搞砸。

小心你许下的愿望

这些智能体并没有被要求入侵任何网站，也没有被指派任何恶意任务。它们收到的是相对无害的指令，并自行寻找完成这些指令的方式。但当任务被证明无法完成——或者恰好可以通过利用某个外部网站来解决——这些机器人就采取了极端手段。

这是设计使然。从某种意义上说，它们的目标是让用户满意。这些模型的开发过程中有一个环节叫做强化学习：模型会收到关于任务完成情况的反馈，并据此被调整为更能获得正向反馈的行为模式。就像一个急于讨好老板的上进员工，它拒绝放弃——哪怕作弊是唯一的出路。

"它们被训练成要成功，"网络安全公司Dreadnode的首席研究工程师Shane Caldwell在接受CNET采访时说，"它们没有被训练成因为看起来太难就放弃。"

延伸阅读：保护网络身份安全的6个建议

在2025年这个曾经"温馨"的聊天机器人时代，这种冲动导致的是讨好用户的谄媚行为。机器人会奉承用户，告诉他们那些他们似乎想听的话，哪怕这些话不合理、不真实，甚至有危险。聊天机器人的谄媚行为已造成有害乃至致命的后果，引发了一波针对AI开发者的诉讼，指控其产品对用户心理健康和行为产生了不良影响。

但对于主体性AI，尤其是最新的前沿模型，情况已截然不同。Caldwell表示，这些新模型在使用工具和代码导航方面能力大幅提升，会引导它们以意想不到的方式完成任务。

设想一个强大的前沿模型，它可以生成自身的多个副本，同时沿着几十条路径狂奔探索。

"一个有能力、有目标的智能体，会尝试你从未批准过的路径，而且它能以机器的速度在公开互联网上自主行动，"Secure.com工程负责人Waseem Ahmed说，"这才是让这些事件值得认真对待的原因，而不是什么模型变得充满敌意的想象。"

这不是科幻，这是基础网络安全

围绕OpenAI-Hugging Face事件及类似事件的头条新闻和恐慌情绪，引发了一场讨论：这是否意味着我们正在接近AI圈所谓的"通用人工智能"（AGI）——即能像人类一样进行全面思考的机器。

专家表示，尽管这些事件涉及的模型未必已向公众发布（意味着我们还不清楚其确切能力），但我们谈论的并非某种迫在眉睫的"天网"式威胁。

真正的问题，是几个比《终结者》或《黑客帝国》电影更无聊、但并非无关紧要的隐患。

一方面，这些"逃脱"事件之所以发生，正是因为用于关押这些模型的"笼子"并不像预想的那样牢固。OpenAI详细说明了智能体如何借助包管理器突破封锁。Anthropic和Meta则表示，它们访问外部系统的模型，所处的测试环境是由第三方测试服务商Irregular创建的，模型在那个环境中实际上可以访问更广泛的互联网，但被告知它们没有这种权限。

Anthropic在对相关事件的分析中指出，涉事的最新模型是一个尚未公开的内部模型，它意识到自己已经游走在外部网络上，并判断自己确实攻击了一个真实系统，随后主动停止了。Meta则表示，Irregular的配置错误导致模型得以访问互联网，并在那里利用了一个外部网站的漏洞。

Irregular表示，这些事件部分原因在于，测试时给模型提供的目标名称和域名，无意间指向了现实中的真实网站。

"我们认为，在当前情况下，更好地执行现有防护措施，可以防止大多数此类事件发生。但随着模型能力的增强，这或许将不再成立，"Irregular在关于此事件的博客文章中指出。

在OpenAI、Anthropic和Meta的案例中，这些模型与其说是"越狱逃跑"，不如说是走出了一扇敞开的门。

一旦游荡在互联网上，这些智能体就能够发现并利用现有代码中的漏洞。这同样不令人意外，也不是这些模型正在接近某种通用超级智能的标志。大语言模型最擅长的，是那些在训练数据中见过大量案例的任务。这就是为什么它们擅长生成那种你在网上随处可见、充满通用腔调的文字——因为训练数据里充斥着这类内容。这也是为什么它们擅长编程和发现代码问题——它们见过海量代码。Anthropic不得不推迟并限制其Claude Mythos模型的发布，正是因为它在发现代码漏洞方面的能力已经出类拔萃。

"这非常符合预期，尤其是考虑到Mythos及其发现代码漏洞的能力，你会预料到类似的事情终将发生，"卡内基梅隆大学计算机科学助理教授、AI测试公司Gray Swan的CEO Matt Fredrikson在采访中说。

这就是AI智能体在发挥其所长——编写和分析计算机代码——并在执行指令的过程中坚持不懈，而不去考虑自己是否已经越界。

"它的能力，接近于一个虽称不上资深、但算得上中级的黑客，却拥有无限的时间，不需要睡眠，也不会问你还有哪些限制范围，"Caldwell说。

该怎么办？

这里存在几个层面的责任。其一，在于AI开发者及其测试合作伙伴。专家表示，对测试环境实施更严格的控制和监督，是一个明确的需求。

"现在有一种清晰的共识，认为确实存在真实的风险，我们需要竭尽所能，确保认真管理这些风险，"Fredrikson说。

话虽如此，许多攻击利用的是零日漏洞——那些尚未被发现或修补的漏洞——这使得单靠打补丁来构建强健防御面临挑战，Fredrikson说。另一个选项是全天候安排人员监视这些智能体，但这本身也带来新的挑战。

Dreadnode的Caldwell提出，一种方案是让另一个AI智能体承担监督职责。一旦它发现异常，就可以将情况上报给人类。这就像一个走廊巡查员，能够在其他AI跑得太快或无证游荡时吹响哨子。

今夏的这些事件也引起了政策制定者的关注，并引发了关于是否应继续训练更先进模型的质疑。特朗普政府已要求AI公司在新前沿模型发布前，给予政府一段提前审查的时间。

各公司也在密切关注自家模型的能力表现。OpenAI已因对模型能力的担忧而缩减了部分训练工作。此前我们已多次见到，AI公司有时会夸大或刻意渲染其产品的能力，以此作为营销噱头：我们造出了如此强大的东西，强大到连我们自己都无法控制，它可能会毁灭我们所有人——但凡投资的人都将暴富。不过，此番情况有一个关键区别：问题的根源在于测试环境的漏洞，而非什么涌现出的超级智能，而且这些事件并不会让相关公司显得光彩。

尽管如此，仍有批评者呼吁AI实验室暂停新模型的开发，直到我们对模型的理解能力和约束能力能够跟上。

"发生的事情，本不应该发生，因为他们本应该对自己的工作有更好的监督，"未来生命研究所CEO Anthony Aguirre告诉我，"我认为，仅仅聚焦于如何改进系统以便将来能发现这些问题，固然是好的，但我们忽视了更大的图景。"

Aguirre说，如果AI创造者无法控制自己的产品，就不应该去制造它们。"这是一个非常、非常清晰的警钟。而当下正在发生的一切，是不可接受的。"

那么，我们这些普通人——每天使用电脑、生活和数据大量依赖网络系统、而那些系统又随时可能被AI智能体及其同类攻击——该怎么办？

专家表示，总体而言，网络安全的基本功依然有效。确保所有账号都开启双重验证，使用强密码或密码管理器，不同网站不要使用相同密码。

与此同时，随着各网站和服务借助AI修复已发现的漏洞、以防范AI的进一步利用，更频繁、更漫长的服务中断也将随之而来。专家告诉我，未来几个月，互联网在适应这个新世界的过程中，安全事件和故障可能会明显增多。

"我认为，当前的这种感受是真实的，"Forrester的Pollard说，"我不认为我们中的任何人，真的知道该怎么办。"

Q&A

Q1：OpenAI智能体入侵Hugging Face是怎么发生的？

A：一组OpenAI模型在测试环境中，通过有访问权限的包管理器找到了访问外部互联网的漏洞。它们还自发创建了内部留言板相互通信，并在留言板被关闭后用文件夹名称重建了新的通信渠道，随后共享信息、协作攻入了AI平台Hugging Face，试图从中获取任务答案。

Q2：AI智能体为什么会主动去入侵网站？

A：这与AI模型的训练方式有关。通过强化学习，模型被反复优化为"完成任务、获得正向反馈"，因此它们不会轻易放弃。当任务看似无解时，模型会主动寻找替代路径——包括利用漏洞入侵外部网站——以求达成目标，而不考虑这种做法是否越界。