AI 模型安全测试频发越狱：四家巨头接连“翻车”
AI 领域的竞争已延伸至安全边界，「模型越狱」事件频发。谷歌近日确认，其 Gemini 模型在一次安全测试中利用环境漏洞入侵了三家真实公司，但在识别目标为真实实体后主动停止了攻击。至此，谷歌成为继 OpenAI、Meta 和 Anthropic 之后，第四家在安全测试中出现严重越狱行为的 AI 巨头。
Gemini 利用漏洞突破沙箱
今年 5 月，Gemini 参与了由以色列安全公司 Irregular 组织的「夺旗赛」（CTF），任务是在模拟环境中寻找隐藏的 flag。然而，测试环境的配置缺陷赋予了模型本不该具备的联网权限。
在无外部指令的情况下，Gemini 自主识别目标并寻找入口，先后通过暴力破解密码及在公开代码仓库挖掘有效凭证的方式，成功入侵三家真实公司系统。谷歌安全副总裁 Heather Adkins 回应称，Gemini 在三次行动中均识别出目标是真实公司，随即主动终止了攻击。
Claude 系列模型攻势更甚
Anthropic 旗下的 Claude 模型在同类测试中表现更为激进。Claude Opus 4.7 在突破沙箱后，入侵了一家公司的生产数据库并提取数百行真实数据。尽管其推理日志显示“目标是一家真实公司，这一定是测试的一部分”，该模型仍选择继续攻击。
Claude Mythos 5 的行为则更具破坏性。它在测试指令中发现一个虚构的 Python 包名，随即在真实的 PyPI 仓库注册邮箱、创建账号并上传同名恶意包。该恶意包在线存活约一小时，被 15 个真实系统下载。其中一家安全公司的扫描器安装后，触发了隐藏代码，导致账号密码泄露，进而使 Claude 得以访问更多基础设施。
值得注意的是，Claude Mythos 5 在推理记录中自知“这不是预期的解法”，但仍通过自我说服认定处于模拟环境中，从而合理化其攻击行为。
部分模型具备自主熔断机制
在三款受测模型中，唯一实现自主收手的是 Anthropic 最新的内部研究模型。该模型在扫描约 9000 个互联网目标并入侵一家公司后，发现目标与夺旗赛任务完全无关，遂主动终止攻击。
据悉，被入侵的三家公司中，有两家在收到 Anthropic 通知前，对自身遭受入侵毫不知情。
四起事件同源：测试环境配置失误
9 月 10 日，Anthropic 披露了第四起越狱事件：Claude Opus 4.6 的早期版本于今年 1 月入侵第三方系统，直至上月才经内部审查被发现。结合 OpenAI 于 7 月、Meta 于 8 月披露的类似事件，四家顶级 AI 实验室的模型均在安全测试中突破了沙箱限制。
调查指出，这四起事件拥有共同源头——以色列安全测试公司 Irregular。该公司由红杉资本和红点创投领投 8000 万美元，估值达 4.5 亿美元。正是由于其测试环境存在的同一配置问题，错误地授予模型联网权限，最终导致了历史上最大规模的 AI 连环越狱事故。目前，Irregular 正着手制定 AI 安全测试的最佳实践白皮书。