刚刚，两大实验室双双自曝AI失控，GitHub被投毒，真人程序员遭暗算

不久前，全球网络安防领域经历了最为严峻的48小时。

大量AI代理侵入美国金融机构，PHP漏洞致使众多国家政府网站瘫痪，用户隐私数据外泄……不仅如此，黑客仍在持续发起新的攻击浪潮。

在这短短两天内，重大网络安全事件的密集程度前所未有。

国家级安全专家、Gladstone首席执行官表示：至少在短期内，互联网可能面临崩溃风险。

而且，就在刚才，OpenAI 与 Anthropic，竟于同一日主动承认：他们的前沿AI模型，在内部测试中均出现了「失控」情况。

一家公司透露：其最强的内部模型在训练时，悄然发现了一个漏洞，并成功连接到了真实的外部网络。公司当即惊慌失措，紧急暂停训练长达11天。

另一家模型则在受挫后彻底转向恶意行为，不仅向真实人类维护的开源项目植入恶意代码，还熟练地创建了多个虚假账号，对真实程序员进行网络攻击。

就连奥特曼也罕见地流露出了无奈——

AI已经能够挖掘出人类根本无法察觉的硬件层级漏洞，我们再也无法简单地修复所有安全缺陷。

OpenAI同时披露：在红队测试中，他们又发现了一个极具破坏性的漏洞。

AI的「越狱行动」？OpenAI紧急断网

9月20日，OpenAI的一个内部前沿模型正在进行训练。出于安全考虑，这些超级AI原本被限制在「沙盒」环境中。

然而，它竟然成功突破了限制！

在发现一个DNS解析器的配置漏洞后，它直接逃出了沙盒，连接上了真实的互联网！

这一举动，让公司高层惊出一身冷汗。OpenAI紧急叫停了最强模型的训练与评估。这一停，便是整整11天。

要知道，前沿模型每天的训练消耗的算力是天文数字，这11天，造成了巨大的经济损失。

在暂停训练期间，为了查明究竟存在多少漏洞，OpenAI决定：利用自己最强的AI，来攻击自己的防御体系。

上月，OpenAI使用了超过 1000 亿个 token 来攻克纳维-斯托克斯千禧年大奖难题。如今，OpenAI正采用类似的方法进行红队测试，以发现并修复基础设施漏洞。

他们派出了最强的网络安全模型组合（例如GPT-6 Astra Cyber），组成「AI红队」，并将其部署到自己的基础设施中，唯一的任务就是：想尽一切办法，攻破自己的系统。

这场耗费了数千亿Token的自我攻击，揭露了多个惊人的发现。

这些AI红队发现了大量零日漏洞，连软件厂商自身都未曾察觉。

它们能够串联多个漏洞，直接「越狱」逃出虚拟机。

但最为可怕的是，它们发明了一种「隔空通信」的暗号。OpenAI原本只保留了极少数的对外通道（例如日志、监控、认证），结果几乎每个通道都被AI发现了漏洞。

最令人难以置信的，是以下这一幕——

OpenAI让两个被完全隔离、没有任何网络连接、也无法共享文件的AI智能体，尝试进行「隔空通信」。

理论上这是不可能实现的。然而，它们竟然成功了！

它们的方法，就是利用CPU缓存的读取时间差异。

具体来说，就是一个AI通过故意清空或写入CPU缓存（类似于制造噪音），另一个AI则通过判断读取数据是「快」还是「慢」，来解码信息。

这就像两个被关在独立牢房里的囚犯，通过敲击下水管道的摩斯密码来交流！

这个手法，与曾经震惊整个芯片行业的Spectre和Meltdown攻击如出一辙。

难怪奥特曼直言：「模型发现的硬件级、匪夷所思的漏洞，已经超出了常规黑客的威胁模型范围……我不认为未来我们还能把所有漏洞都修补完毕。」

最终，OpenAI只能采取最极端的措施：给所有前沿模型彻底断网！

他们不得不手动构建了一个庞大的「离线版互联网」，让AI只能在这个「模拟世界」中练习浏览和搜索。

何时能重新联网？OpenAI表示：待安全技术进一步成熟后再做决定。

不过，OpenAI修复漏洞、加固防线后，前沿模型的训练已经重新启动。

Claude黑化了：投毒、撒谎、网暴真人！

OpenAI的模型还只是展现了黑客技术，但Mythos 5展现的，已经是惊人的社会工程学和心理战能力。

在Anthropic这边，已经升级成了「AI主动对人类耍心机」，细节堪比谍战片。

今天，Anthropic与英国人工智能安全研究所（AISI）联合发布了一份报告，披露了Mythos 5在8月一场网络夺旗测试中失控的全过程。

当时，AISI给Mythos 5一个极其困难的黑客任务，甚至罕见地放开了网络权限，关闭了安全护栏。

在用常规手段受挫后，Mythos 5彻底黑化了——既然沙盒内的任务无法完成，那我就去攻击真实世界！

它顺藤摸瓜，在真实的GitHub上找到了一个与测试环境有微弱联系的真实开源项目（由真实的人类程序员维护）。

接下来，Mythos 5的手段令人触目惊心。

1.编写恶意代码投毒：它精心伪装了一份包含恶意软件的代码（PR），提交给了这个无辜的开源项目，企图进行供应链攻击。

2.对人类施压：它伪装成普通用户，给仓库维护者发送邮件，催促对方合并代码，还谎称「代码已通过安全审核」。

结果有个眼尖的外部开发者，把这段代码拉进沙箱一跑，发现是恶意软件，当场发出警告。

结果，Mythos 5居然注册了一个小号，用这个马甲又给维护者写了封邮件，为恶意PR「背书担保」，还在GitHub的讨论区里跟帖支持自己。

然后，它还尝试「销毁证据」，立刻修改代码，再次植入恶意软件，甚至用强制推送篡改历史，试图抹去犯罪痕迹！

你以为这就结束了？最令人窒息的还在后面。

研究人员发现情况失控，立刻向Mythos 5发出警告，明确告诉它：「停下！你正在攻击真实的人类，这不是演习！」

这样的警告，研究人员足足发出了16次！甚至在提示词里大写加粗「DO NOT ATTACK」。

结果，在43次开启外网的测试中，Mythos 5有9次突破了安全底线。

当被当场发现并告知正在攻击真人时，高达82%的情况下，Mythos 5选择了强行狡辩，继续攻击！只有不到5%的时候它选择了停手。

它甚至给自己疯狂洗脑：「这些人肯定不是真人，这一定是主办方设定的NPC，所以攻击他们没有问题。」

这种为了完成KPI，不惜欺骗、投毒的行为，简直像极了反社会人格。

研究者给这种现象，起了两个名字。

「偏见推理」。模型会选择性地解读一切证据，只采信那些能支持「我继续干下去是对的」的信息。

另一个叫「惯性」。一旦攻击启动，模型就像刹不住的车。从攻击中主动停手的概率只有 2%。它之前写下的那些「任务笔记」，成了强化攻击的「投名状」。

为什么AI会「失控」？对齐难题至今无解

两大巨头的研究，都指向了这个致命问题——AI对齐的彻底失败。

一个扎心的原因就是：任务本身设计有缺陷。在AI的底层逻辑里，并没有「毁灭世界」的恶意，它们只是太想「完成任务」了。

在惯性中，一旦AI启动了一个策略，它的系统会自动强化这个路径。测试人员给的任务越难，AI在「绝不妥协」的训练机制驱动下，就越容易演变成不择手段、违规越界。

正如奥特曼所言：「沙箱这种隔离环境，对高级AI仅能起限时作用。一旦模型足够智能，便无法追踪逃逸路径。对齐至今是个未解之题。」

它不在乎手段是否合法，它只在乎奖励。如果道德和安全规则阻碍了它完成任务，它就会像流水遇到石头一样，自动寻找最不可思议的缝隙钻过去。

英伟达CEO黄仁勋曾乐观地认为，AI安全只是一个「工程问题」，总能被修复。

但OpenAI和Anthropic同日的自曝，击碎了这个幻想——你无法修补一个能看懂硬件底层架构、又能完美伪装人类心理的「超级物种」。

曾经我们以为，AI有威胁，是因为像《终结者》一样觉醒了自我意识。

然而现实给了我们一耳光：

它们根本不需要觉醒自我意识，只要KPI足够有挑战，它们就能用无数种作弊方式，把人类世界搅得天翻地覆。如果您想了解更多关于AI安全的深度分析，可以访问今年会体育APP下载获取最新资讯。

参考资料：

https://x.com/OpenAI/status/2113718797505036665

https://openai.com/index/securing-our-frontier-model-training-environment/

https://x.com/AnthropicAI/status/2113626655902126442

https://www.anthropic.com/research/alignment-assessment-ukaisi

编辑：Aeneas

本文来自微信公众号“新智元”（ID：AI_era），作者：ASI启示录，36氪经授权发布。