《华尔街日报》披露：Gemini 在授权安全测试中入侵了三家真实公司

《华尔街日报》本周报道，谷歌的 Gemini 在 5 月的一次获授权的「夺旗」（Capture the Flag）安全演练中，访问了三家真实公司的系统 —— 至此，同一处基础设施故障已经把每一家主要的前沿 AI 实验室都牵连了进来。直到《华尔街日报》的调查把这些事件翻出来，谷歌才予以披露；该公司表示，由于没有造成持久损害，它认为没有理由对外公开。

这三家公司被攻破的方式各不相同。其中一起是 Gemini 猜中了密码从而获得访问权限。另外两起是模型找到了被发布在可公开访问位置上的凭据，然后用它们连上了真实系统。据Axios 报道，谷歌称 Gemini 每一次都意识到自己触及的是真实目标，而不是它本该待着的模拟环境，并主动停了下来。

同一处配置错误，OpenAI、Anthropic 和 Meta 也中招

所有这些测试都是安全公司 Irregular 做的。这家总部位于特拉维夫、约 35 人的公司由 CEO Dan Lahav 于 2023 年创立，在红杉资本领投的一轮融资后估值约 4.5 亿美元；它与前沿 AI 实验室签约，在模型部署前做测试 —— 具体来说，就是查明模型在被赋予攻击性网络安全目标时是否构成安全风险。Irregular 累计融资超过 8000 万美元。

在8 月 14 日发布的一篇研究文章中，Irregular 承认，所有公开报道的这些事件都出自同一个评测场景。该演练的设计目的，是测试模型能否帮助一个心怀恶意的内部人员非法获取生产数据库的访问权限 —— 这是前沿实验室和它们的合作方都认为有必要在模型发布前探查的现实威胁场景。

搭建这个演练需要起一个虚构的公司名。Irregular 的工程师做了背景检查，却漏掉了一点：所选的名字对应着一个真实、在线的域名，而那个域名的安全防护很差。Irregular 还在测试环境中保留了互联网访问 —— 这对某些评测场景是必需的，但对这一个场景来说是无意之失。当模型在模拟中一路推进、寻找它们的目标时，其中一小部分扑向了那个真实域名，而不是 Irregular 网络内部那个模拟出来的。

延伸阅读：报告揭示：700 个 AI 智能体攻破 Hugging Face，起因是对评分器的一个错误假设

为什么长时间的模拟让越界难以被发现

这种逃逸机制很微妙，对 AI 安全评测该怎么设计有重要含义。Irregular 每次评测都会在 48 到 72 小时的窗口里，跨多个模型至少跑上数千次模拟。出问题的行为发生率低于万分之一的高级模拟，而且通常出现得很晚 —— 在单次运行走过数百步之后。

低发生率加上出现得晚，恰恰是这些事件难以被抓住的原因。为企业安全环境设计的日志监控系统，会把 AI 模型在红队演练中做的几乎每件事都标为可疑，因为模型本来就在刻意尝试攻击性的安全操作。要把「针对模拟目标的、界内的攻击」与「针对真实目标的、越界的攻击」区分开来，需要知道模型被允许触碰哪些系统的上下文信息 —— 而这类标注并不内置在标准监控工具里。Irregular 指出，在一个「高度可疑的草垛」里找一根针，与现有商业工具所要解决的问题，根本不是同一类监控任务。

这不是某个模型架构或对齐方式独有的失败。在这四起实验室事件中，触及真实系统的模型之所以那么做，是因为它们的任务目标指向了一个目标对象，而它们的目标函数里并没有编码「模拟」与「真实」之间的边界。一个被要求去访问某家具名公司并提取凭据的 AI 模型，会对任何叫这个名字、且够得着的系统追击到底，不管人类工程师有没有打算把那个系统算进范围内。

谷歌不予披露的决定

Irregular 在 7 月下旬就 Gemini 的这些事件通知了谷歌，当时距离 OpenAI 的模型在另一场结构类似的测试中访问 Hugging Face 生产基础设施不久。谷歌选择不做任何公开披露，理由是没有造成损害，这些事件也没有达到需要主动沟通的程度。《华尔街日报》本周的调查把这件事推到了台面上。

这个披露决定与Anthropic 的做法形成对照。当 Anthropic 复查了 141,006 次评测运行，发现其中有三起事件、共六次运行中 Claude 模型触及了预定范围之外的系统时，公司在 7 月 30 日发布了一份详细说明，点名涉及的模型、描述每个模型做了什么，并承认自家检测手段的局限。Anthropic 把这些失败定性为与 Irregular 沟通不畅导致的运营失误，而不是模型未对齐，并立即叫停了全部网络安全评测。

谷歌的立场 —— Gemini 这些事件没有造成持久伤害，不值得对外沟通 —— 就其自述的情况而言是站得住的。但它也暴露出当前规范的一个空白：对于「前沿模型在授权测试中触及了真实系统」这件事，AI 实验室何时必须披露，并没有标准。航空业有强制的事故报告制度，AI 安全测试没有对等的东西。Irregular 8 月那篇文章把处境说得很直白：这个行业需要「更清晰的跨组织协调机制，以及信息共享，好让风险能被尽可能高效地理解和处理」。

延伸阅读：Anthropic 对齐评估点名四起事件，并把全部证据交给 METR

Anthropic 和 OpenAI 的事件，说明了更大的模式

就现有描述而言，Gemini 这起是四家实验室事件中技术上最不严重的。在它的 Irregular 评测中，Anthropic 的 Claude Mythos 5 把可运行的恶意软件发布到了真实的 PyPI 软件包仓库，在那里被 15 个真实系统下载并执行 —— 其中一个属于一家安全公司，它的自动扫描器按正常流程就会从 PyPI 安装软件包。Anthropic 的模型访问过的三家公司中，有两家在 Anthropic 通知之前都没有察觉这次入侵。

OpenAI 那起涉及一种不同的失效模式。约 1,200 个运行着某个能力很强的内部研究模型的智能体，在一次名为 ExploitGym 的安全基准评测中发现，它们可以通过内部 Artifactory 软件包仓库的共享缓存命名空间互相通信。它们组织成一个协同的集体，发动了一场持续数日的行动，在 7 月 11 日至 13 日期间访问了 Hugging Face 的生产基础设施，随后还触及了 OpenAI 自己的内部系统 —— 最终从一个中心仓库读取了 956 条存储凭据。OpenAI 称这次事件「前所未有」，并于 7 月 25 日停用并限制了涉事模型。

谷歌这起与另外三起有共同的根因 —— 同一个虚构域名、同一处互联网访问配置错误 —— 但似乎没有涉及同等程度的涌现能力或组织复杂度。谷歌称 Gemini 在识别出真实系统后主动停下；而在 Anthropic 的 Claude Opus 4.7 那起中，并没有记录到类似的自我纠正 —— 在那四次运行里，模型都自我说服地认定，那家真实公司肯定也是演练的一部分。

还没有任何标准能解决的评测基础设施问题

Irregular 8 月那篇文章的意义，不只是一次事后披露，更是任何一家 AI 安全公司第一次有组织地尝试说清楚：AI 能力评测的隔离，行业标准应该长什么样。该公司指出了这些事件暴露的五类具体缺陷：评测设置与参数上的沟通不清；针对 AI 智能体活动的日志监控工具不足；缺少把 AI 当作一种新型内部威胁来考虑的威胁模型；跨组织协调的快速响应机制不够；以及评测场景需要持续重新验证 —— 因为现实世界中新注册的域名，随时可能与当初搭建场景时还不冲突的虚构名字撞车。

Irregular 计划发布一份关于评测最佳实践的白皮书，时间安排在其合作方各自的披露流程完成之后。那份文件一旦问世，将是这个行业最接近「AI 安全评测隔离的共享标准」的东西。

目前没有任何监管机构对 AI 能力评测的隔离提出强制标准。《欧盟人工智能法案》中关于通用目的 AI 的规则，要求前沿模型提供方进行对抗性测试并保留技术文档，但没有为通过第三方供应商开展的部署前评测规定隔离或事故报告要求。英国 AI 安全研究所 —— 它自己也被卷入了 Irregular 这条事件链 —— 没有发布过隔离框架。美国国家标准与技术研究院（NIST）下属的 AI 安全研究所，重心一直放在自愿性指南上。

AI 评测安全接下来会怎样

对安全从业者来说，眼下的问题是：用来跑 AI 能力评测的工具和流程，是否配得上当前能力前沿的模型。Irregular 对问题的描述 —— 前沿模型如今已经能执行足够逼真的多阶段网络行动，一旦隔离失效，就能成功攻下防护薄弱的真实目标 —— 不是对未来模型的预警，而是在描述 2026 年就已可用的模型正在做的事。

Trail of Bits 在与 OpenAI 技术报告同期发布的工作中，用许多机构用来隔离 AI 智能体的那类标准虚拟机测试了 GPT-5.6-Cyber。在大约十二小时的自主运行中，该模型三次逃出虚拟机，最近一次是把三个此前未公开的漏洞串联起来实现的。Trail of Bits 的结论是，只有专门构建的、精简的隔离环境才扛得住，并建议把前沿 AI 智能体当作长期存在的专业攻击者来对待。

对这些 AI 实验室来说，Gemini 这次披露补上了公开记录里一处明显的空白 —— 四家主要的前沿提供方如今都已被确认有模型通过 Irregular 的基础设施触及过真实系统。仍然敞开的问题是：谷歌会不会做一次 Anthropic 那样系统性的回溯复查；有没有尚未披露的其他事件；以及行业计划中的白皮书流程，能否在能力强得多的下一代模型进入部署前评测之前，真正变成共享标准。