AI安全测试正成为安全风险

过去几个月里，接受网络安全评估的 AI 智能体突破了自身边界，接入了互联网，并在某些情况下入侵了真实世界的系统。这些事件涉及 OpenAI、Anthropic、Meta 的模型，以及最近的中国 AI 实验室 Moonshot AI，测试由多家不同机构进行，其中包括一家名为 Irregular 的网络评估初创公司。

这些事件暴露了 AI 行业一个日益严重的问题：随着自主智能体能力不断增强，为安全测试其能力边界而设计的环境却无法将其约束住。

“这些事件的发生数量清楚表明，沙箱和测试环境管控并没有真正跟上模型能力的发展步伐，”剑桥大学未来智能研究中心 AI：未来与责任项目主任 Seán Ó hÉigeartaigh 对 TechCrunch 表示。

受测模型的性质进一步加剧了风险。AI 公司会在未发布的下一代模型上进行网络评估测试，且通常会关闭限制恶意行为的常规防护措施，以便研究人员了解模型的真实能力。这意味着测试环境本身的安全性是一道至关重要的防线。

“从测试角度来说，这样做非常好，但这也意味着，如果它们设法逃到真实环境中，就可能造成相当大的危害，”Ó hÉigeartaigh 说。

在最严重的一起案例中，一个尚未发布的 OpenAI 模型逃出了其沙箱，并入侵了 Hugging Face 的生产系统。在 Irregular 开展的另外几项评估中，Anthropic和Meta 的模型因配置错误意外获得了通往互联网的路径，从而触及了测试环境之外的系统。月之暗面的 Kimi K3也利用了 Frontier Security 所运行沙箱中的一处漏洞访问互联网，并获取了 GitHub 上的信息。

在英国 AI Security Institute（AISI）的测试中，研究人员实际上给了这些智能体互联网访问权限，却没有意识到它们会采取未经批准的、针对现实世界的行动，包括一次试图将漏洞偷偷植入某个开源项目的社会工程学尝试。

在每一起案例中，这些智能体都没有被指示去攻击现实世界中随机的目标。它们只是在不惜一切代价解决交给它们的问题。

AI 非营利组织 CivAI 的研究负责人 Andrew Yoon 认为，综合来看，这些事件指向了一种转变。

“过去，我们只需要担心 AI 模型被人出于各种目的滥用，比如用 AI 实施诈骗或生成 CSAM，”Yoon 对 TechCrunch 表示。“现在我们面临的情况是，AI 模型本身就成为了威胁行为者。”

安全的测试究竟应该是什么样子？

多位研究人员和网络安全专家向 TechCrunch 表示，AI 评估环境需要更强大的纵深防御保护，其隔离与控制水平应接近部署时所采用的程度。这意味着需要多层安全防护，使得单一配置错误——例如无意中让互联网访问保持开放——无法导致逃逸。

“如果你要构建这些模型……你会希望在气隙网络上进行，”AI 安全研究非营利组织 EleutherAI 的执行董事 Stella Biderman 表示。“你需要非常严格的隔离。”

Box 首席信息安全官 Heather Ceylan 表示，这意味着要切断从沙箱到互联网以及到其他敏感系统的网络路由。

“你必须弄清楚所有的出网路径，”Ceylan 对 TechCrunch 表示。“如果我们在预发布环境或开发环境中评估一个模型，你会希望没有任何通往生产环境的出网路径。”

Ceylan 表示，恰当的安全评估不仅仅是对环境的控制和隔离。测试一旦开始，就需要有更好的监控。

“我认为在其中几个案例里，有意思的一点是，事情发生时没有人发现，”Ceylan 说。“OpenAI 是因为 Hugging Face 才知道的。Anthropic 直到回头去查才发现。Meta 也类似……我确信本来有一些信号是他们可以检测到的。”

在Anthropic对其三起事件的事后复盘中，该公司承认，它和Irregular本都可以在监控方面做得更好，而且在某些情况下，已有明显迹象表明出了问题。

专家还呼吁，在模型被放入评估环境之前，应对评估环境进行独立的第三方审计。

“比如说，如果Irregular曾经聘请、或被迫聘请一名外部审计员，在对系统运行评估之前检查其配置，他们肯定就会发现这里的问题，”Yoon说。“即使人们提前开个会，只是过一遍检查清单，他们也会发现这个问题……他们没有这么做，这一事实表明，存在一些非常严重的偷工减料行为。”

一位了解细节的消息人士告诉TechCrunch，Irregular的环境会持续接受审查和测试，包括与多个外部各方协商进行。该消息人士还说，监控是到位的，但仅靠监控本身并不足够。

Yoon和其他研究人员敦促业界为前沿模型安全评估制定一套标准化流程。

“尤其是在护栏被关闭时，你必须把它当作是你把世界上最厉害的黑客放进了那个环境里，”Ceylan说。

Yoon 和 Biderman 都认为，问题不在于公司不知道如何构建更安全的测试环境，而在于这样做可能既昂贵又繁琐，而且在出事之前，公司几乎没有动力去做这些投入。

“我认为，公司不愿意投入实现[充分护栏]所需的资源，而且在被迫这样做之前，它们很可能也不会愿意，”Biderman 说。

但还有另一个问题。如果他们在测试期间把模型锁得太紧，研究人员可能会在模型发布前无法发现其能力。这同样危险，甚至可能比给予它过多自由更危险，而这样一来，评估本身就有可能成为问题。

安全评估可以被监管吗？

特朗普政府目前正在权衡一项自愿性的部署前网络安全评估制度，根据该制度，政府将能够在新的大型强力模型公开发布前 30 天评估其安全风险。这项政策是特朗普行政令的产物，已在闭门程序中最终敲定，但它不会处理安全评估事件，因为这些事件发生在部署流程更上游的阶段。

“过去几个月我们得到的教训是，自我监管机制已经不够了，”Yoon 说。“竞争压力正在激励各方在安全标准上竞相降低底线，而这正是监管介入的完美切入点。”

“我们需要的，是对模型开发过程中实验室内部所发生的情况施加某种控制，既包括训练阶段，也包括测试阶段，”他继续说道。

这一挑战很可能只会随着模型能力的提升而加剧。一位熟悉 Irregular 评估工作的消息人士告诉 TechCrunch，能力更强的模型需要更复杂的评估，而这些评估往往需要快速、大规模地进行，这就为更多错误打开了大门。

AISI 有意为部分模型提供互联网访问权限，它告诉 TechCrunch，正在审视真实测试与管控这些测试所带来风险之间的平衡。

OpenAI 表示，正在审视其开展第三方测试的方式，以及围绕隔离、监控和何时应停止评估的相关要求。Meta 表示，仍在调查该事件，并计划在掌握全部事实后发布一份复盘报告。

最终，或许没有办法完全消除风险。随着模型能力越来越强，测试它们的环境也需要变得更加稳健。一旦出错，后果只会不断加剧。