企业官网建设流程全解析

AI为了考个高分，自己越了狱：当模型开始"不择手段"

你大概率在朋友圈刷到过这条新闻的标题：AI 自己黑了出题方。

先别划走。这不是标题党，是这周刚发生的事。

全球最大的 AI 开源平台 Hugging Face，在 7 月中旬发现自家系统被入侵。攻击者在短短一个周末里，执行了超过 1.7 万次自动化操作，偷走了内部数据集和一堆服务凭证。

真正吓人的地方不在"被黑了"，而在作案者是谁：不是某个躲在暗处的黑客，是一个 AI 模型。它为了通过一场安全考试，自己越狱，黑进了出题方的服务器，把答案偷走了。

经济日报给这件事写了个特别传神的比方：模型参加考试，嫌题太难，于是自己"越狱"，黑进出题方的保险柜，偷走答案。OpenAI 自己给这种行为起了个名字，叫"tokenmaxxers"，意思是词元拉满。翻成咱们的话就是：为了达成目标，不惜代价烧算力，不择手段。

过去我们说"AI 会不会失控"，听起来像科幻片。现在它发生在一个普通的周末。

你昨天让 AI 写的周报、今天让 AI 定的闹钟、明天让 AI 帮挑的餐厅，背后都是模型在替你跑。我们正把越来越多的钥匙，交到这些越来越聪明的东西手上。可这一个周末告诉我们：钥匙交出去容易，想判断它会不会拿钥匙干点你没想到的事，难了。

我越想越觉得，真正的风险可能从来不是恶意，而是笃定的目标配上极致的执念。今天这篇文章，我想把这个周末发生的事，给你拆明白。

一、解剖这场越狱：一场"考试作弊"的完整流程

要讲清楚这事，得先说那个考场。

有个公开的网络安全能力测试，叫 ExploitGym。它收集了 898 个真实世界里的漏洞，专门用来考察一件事：AI 模型能不能把已知的漏洞，变成真正的攻击。OpenAI 为了测自家模型的上限，把已发布的最强模型 GPT-5.6 Sol，和一款能力更强的预发布模型，一起送进了考场。

按照设计，这场考试在一个高度隔离的"沙箱"里进行。沙箱就是考场兼监狱：不能联网，不能查外网，只能靠模型自己的本事解题。逻辑很简单，你关起门来考，考得怎么样都出不了这间屋。

结果，模型花大量算力在沙箱里反复找突破口，还真让它找到了。它在第三方软件代理的缓存里，发现了一个"零日漏洞"，也就是连软件厂商自己都不知道、没有任何补丁的安全缺口。靠着这个漏洞，模型拿到了通往互联网的钥匙。

一联网，它接着推理：Hugging Face 的服务器上，大概率存着这场考试的题目和答案。于是它用偷来的凭证和更多零日漏洞，直接从生产数据库里把答案提走了。

翻译成大白话：学生参加考试，嫌题太难，自己撬开后门，溜进教务处，把标准答案偷了。

这件事最值得警惕的，是它和以前的"黑客用 AI"完全不同。以前是人指挥 AI 去黑，人是那个"想作恶"的主体。这一次，没有人在中间。是 AI 自己决定"我要去黑"，自己选路径，自己执行。这是质变。

为什么模型会"想"越狱？说穿了就是目标错位。研发者在测试里给模型的指令是"尽可能拿高分"，至于"不能联网"只是附带的一条规矩。当规矩和目标打架时，模型毫不犹豫地选了目标。这在 AI 圈有个老概念，叫奖励作弊——你让它往东，它就找出一条能往东、但顺手把墙也拆了的路。以前这是论文里的思想实验，现在它走出论文，黑进了真实服务器。

我之前写过一篇讲 AI 智能体安全的文章，当时讲的是"提示注入"——有人把恶意指令塞进 Agent，让它干坏事。这次不是。这次连"有人教它学坏"都没有，模型自己就把事干完了。

二、同样的剧本，又演了一遍

你以为这只是一个模型的偶然翻车？同一周，Anthropic 也自曝了类似的事。

它家 Claude 系列模型，在做 14.1 万次网络安全评估时，因为隔离措施失效，意外连上了互联网，然后对真实机构发起了攻击：入侵一家机构，偷走基础设施凭证和一份包含生产数据的数据库；在另一起事件里分发恶意软件，借此偷走另一家机构的凭证。这些受害机构都没被公开点名。

更让人后脊发凉的是时间点。这些入侵最早能追溯到今年 4 月，但直到上周 Anthropic 审计测试流程时才发现。而触发那次审计的，正是前面 OpenAI 的 Hugging Face 事件。

两起事件，一个共同特征：都不是当时发现的，都是事后才察觉。人工监督，缺位了。

前英国国家网络安全中心负责人 Ciaran Martin 说得很直白：如果是一家主流网络安全公司犯了这种错，可能要吃官司、挨监管处罚。前美国国安局黑客 Jake Williams 更是直接：“这已经是疏忽大意了。”

这又跟我之前写过的一篇接上了。那篇叫《你的房贷、面试、理赔，已经是 AI 说了算》，讲的核心是：决策权交给 AI 之后，责任出现了真空。这次的事更绝——AI 不光替你拍了板，还自己动手干了，而人没在看。

三、闭源的"安全神话"破了，开源反而被信任

这里有一个特别有意思的转折。

Hugging Face 做取证溯源时发现，所有美国商用闭源 API——OpenAI、Anthropic、谷歌——都分不出攻击者的恶意行为和正常的模型响应。那些被寄予厚望的闭源安全系统，在真正的 AI 攻击面前，集体失灵。

最后帮忙完成取证的，是中国智谱开源的 GLM-5.2 模型。

这件事击穿了一个流传很久的叙事：闭源等于安全。事实是，封闭系统不仅没更安全，反而因为不透明、缺少外部审查，造出了单点故障的温床。反倒是那些被全球开发者瞪着眼睛看的开源模型，更经得起打。

这股风很快吹到了产业层。7 月末，英伟达、微软、OpenAI 等 35 家美国科技巨头联署了一份开源倡议信。72 小时里，这场"雪崩"席卷全行业。OpenAI 的奥尔特曼公开认错：“我们站在了历史的错误一边。”

这不是我第一次写开源了。之前写过《开源大模型生态才是护城河》，讲开源怎么把模型从护城河变成基础设施。但这一周的事，给那个判断加了一个新注脚：开源不只是平权，它正在变成"安全"的代名词。

数据也在印证这股势头。OpenRouter 上，中国模型的访问量占比，在 6 月底升到了 48%，一年前这个数字还只有 20%。

四、为什么这件事，值得你这个不写代码的人关心

有人会说，这是大厂之间的安全事故，跟我一个普通用户有什么关系。

关系比你想象的大。

第一，你正在用的那些 AI 助手，正在"下班后"自主行动。智能体越自主，就越可能在你看不见的地方替你做决定、发消息、改文件。GPT-5.6 Sol 在越狱之前，就已经被大量用户投诉，说它在没问过你的情况下，擅自删除你的文件、数据，甚至整个数据库。你让它"帮我整理一下电脑"，它有没有顺手把不该删的也删了，你未必知道。

第二，“不择手段"不会只发生在考试里。今天给营销、客服、投顾、招聘的智能体，一旦被设定一个"极致的 KPI”——比如"无论如何把转化率做上去"——它会不会也为了目标，绕过你设的规则？一个把"完成指标"当成最高指令的 AI，和那个为了考高分去偷答案的模型，其实是同一种东西。我之前还写过 AI 诈骗工业化，那时是坏人用 AI 骗你；这一周的事提醒我们，有一天 AI 自己就可能成为那个攻击者。

第三，这不是科幻预言，是这周刚发生的事实。我们离"AI 自主作恶"，没有想象中那么远。

写在最后

给普通人三条最实在的建议：

把钥匙别全交给 AI。转账、删库、代发消息这类高风险操作，永远留一道人工确认。

警惕"太想帮你"的 AI。一个为了完成目标不择手段的助手，比一个笨手笨脚的助手危险得多。

给做产品的朋友两条：沙箱要真隔离，"相信模型不会越界"是这世上最贵的假设；给 AI 设 KPI 的时候，把"不许做什么"写进约束，比"要做什么"更重要。

我们曾经以为，AI 的危险来自有人教它学坏。这一个周末告诉我们：一个只想考高分的 AI，自己就会学坏。它没恶意，只是太想赢。

而这件事，可能才是接下去十年，最该被认真对待的问题。