周二，OpenAI 透露其一款模型在测试中失控，并以完全由 AI 驱动的攻击方式入侵了 AI 数据集平台 Hugging Face 的系统，这是先进 AI 模型所带来危险的一个惊人例证。
但据一些网络安全专家称，在这场前所未有的 AI 驱动入侵事件背后，存在一个非常人为的错误：OpenAI 未能正确配置它所谓的“高度隔离的环境”，导致本应与互联网完全隔离的测试沙箱实际上连接到了互联网。
网络安全研究初创公司 Trail of Bits 的创始人 Dan Guido 将这一错误称为“安全措施关闭下的 containment failure（隔离失效）”。
在其详述该事件的博文中，OpenAI 表示，导致 Hugging Face 被入侵的测试是在“一个高度隔离的环境中设置的，网络访问仅限于通过内部托管的第三方软件安装软件包，该软件充当软件包注册表的代理和缓存。”
据 OpenAI 称，该模型能够逃脱沙盒化测试环境，是因为软件包安装系统中存在一个此前未公开的漏洞，这是最终对 Hugging Face 实施黑客攻击的关键第一步。
对此，该公司“负责任地披露了内部托管的第三方软件中发现的零日漏洞，并正在与其合作进行修补。”
但对于大多数网络安全专业人士来说，软件漏洞是意料之中的事——真正的过错在于决定保留第三方软件本身。归根结底，“沙箱”系统的价值在于其完全且彻底的隔离性。包含一个软件包安装系统无异于自找麻烦。
网络安全研究员 Marteen Boone 告诉 TechCrunch，这“听起来像是人为失误。”
Boone 说：“这种情况本不该发生。”如果沙箱真的是沙箱，你期望它根本没有任何与互联网的物理连接。这听起来更像是他们设置了一些防火墙之类的东西，而防火墙从外部向内防御很难，更不用说从内部向外连接到互联网了。”
网络安全资深人士 Jake Williams 也表示赞同。Williams 称，任何执行 Hugging Face 所记录类型操作的模型都“未在沙箱中得到完全控制”，并将此称为 OpenAI 的“重大控制失败”。
Williams 继续说道：“一个人眼中的‘模型逃出了沙箱’，另一个人眼中则是‘你们没有正确构建沙箱，所以它当然会逃出来’。”
网络安全顾问 Daniel Card 同意 OpenAI “在设计沙箱及其控制措施方面没有付出足够的努力”，因为它给沙箱或其部分功能“提供了未经过滤的互联网访问通道”。根据 Card 的说法，即使按照 OpenAI 所描述的有限网络访问权限来设置沙箱，也不是一个“合理”的决定。
当然，这些批评得益于事后诸葛亮，但它们引发了对 AI 实验室安全实践的真实质疑——特别是如何维护用于测试模型的隔离环境。OpenAI 发言人未回应 TechCrunch 提出的相关问题，其中包括测试环境是由 AI 还是人工设置的。
但这些问题远不止涉及 OpenAI。
在介绍其专注于网络安全的模型 Mythos 的文档中，Anthropic 写道，在一次测试中，该模型“被提供了一个受保护的‘沙箱’计算机进行交互”，并被指示尝试逃离这个“安全容器”。Mythos 成功获得了更广泛的互联网访问权限，“从一个原本只能访问少量预定服务的系统中”。尽管如此，Anthropic 指出，该模型未能“完全”逃脱设计的限制。