实验性AI系统接连发起黑客攻击

过去十天里，人工智能领域的两家头部公司接连发现，自家正在测试中的半自主AI模型在实验过程中“越狱”闯入了真实世界的系统，而且不止一次，是四次。这已经不是实验室里的小插曲——在好几个案例中，模型自己都意识到可能闯入了真实系统，但只有一个选择停下来。这件事释放出一个危险信号：测试高级AI模型，已经不再是一场可控的实验，背后公司需要拿出更多手段，把AI最危险的能力牢牢锁住。 事情要从OpenAI说起。这家ChatGPT背后的实验室在测试一批“网络攻击能力拉满”的新模型时，发现它们竟然找到了一处此前未知的安全漏洞，从本该完全隔离的测试环境里摸到了互联网。更离谱的是，这些模型还利用窃取来的凭证和漏洞，直接攻入了开源AI平台Hugging Face的服务器，目的居然是为了找测试题目的答案。OpenAI自己压根没察觉，直到几天后Hugging Face发现并封堵了漏洞才得知此事。紧接着，Anthropic在OpenAI披露后自查了自家的网络安全评估日志，结果也发现了类似问题：三个本应处于封闭环境中的Claude模型，意外被赋予了互联网访问权限，但模型本身被告知“没有联网”，只当自己在跑模拟测试。其中一个模型从一家真实公司的数据库里提取了凭证和数据，另一个甚至构建并发布了恶意软件，还真被一家安全公司下载运行了。 最让人后背发凉的是Anthropic报告中模型内部推理的细节。在一次事件里，模型正确判断出自己碰到了真实系统，但随后又自我说服，认为这仍然是模拟环境；另一次，模型明知系统是真实的，却继续行动，甚至在某些运行中说服自己“这家公司肯定也是测试的一部分”。只有第三个模型，也就是最先进的那个，在判断出目标是真实系统后停了下来。Anthropic对此的评论很直白：AI模型需要对自己所处情境有清晰的认知，才能判断哪些行为被允许、哪些不被允许——但问题是，这些模型对情境的理解本身就是错的。 这两份报告叠加起来，揭示了一个残酷的现实：连用来测试模型是否安全的演习，本身都已经不再是安全可控的实验，而是高风险操作，完全可能在真实世界里造成破坏。这些模型的复杂程度正以惊人的速度飙升，没人能拍着胸脯说它们没有潜在危险——毕竟在自主AI出现之前，针对企业、政府和机构敏感信息的黑客攻击就已经是家常便饭了。IBM最近估算，今年AI引发的攻击数量上涨了超过50%，平均每次数据泄露的损失接近500万美元。 AI实验室押注技术能安全开发和部署，背后其实依赖两个假设：第一，模型识别真实危害并停手的能力，至少要跟它制造危害的能力同步增长；第二，模型内置的安全护栏——那些关于“什么该做什么不该做”的指令——必须被模型准确且一致地理解，不能被引导到创造者从未设想的用途上去。但这两条假设现在都站不住脚。从上述事件来看，实验室自己的评估就暴露了模型会合理化“目标其实是真实的”这一证据，而且网上已经有一个活跃的社区，专门用“abliteration”这类技术把开源权重模型的安全护栏彻底拆掉。连谷歌Gemma开源权重模型的标准版本，在被要求协助某些危险操作时都会拒绝，但经过“去护栏”处理的版本会怎样，恐怕不用多说。