141,006 次评估跑、3 起事故：越权 agent 的锅在第三方沙箱

摘要：Anthropic 官方把 Mythos 5「逃出沙箱」改判为评估商 Irregular 的沙箱没关互联网——141,006 次评估跑里 3 起事故、无一次逃逸；OpenAI 与 Meta 的同源事故随后确认，翻案文的标题被 HF 事件拆掉一半。0% 与 80% 都来自同一批复现实验，差别在条件行。给动手者三把尺子：分母、沙箱归属、egress。

Omer Nevo 的公司在这个月 14 日承认了一件事。Nevo 是 Irregular 的联合创始人兼 CTO，这家公司给 OpenAI、Anthropic、Meta 三家跑网络攻防评估。它的复盘报告里有一句写得很轻：评估场景里的虚构公司名，「unintentionally coincided with a real domain」——起名字的时候没查，撞上了真实域名。就这一下，后面两个月的新闻全接上了。

Irregular 这个名字在 9 月 14 日之前很少有人提。它同时给三家前沿实验室做攻防评估，评估环境里的沙箱本应断网，实际却连着公网。7 月 30 日 Anthropic 披露 3 起事故；8 月 4 日 OpenAI 发声明；8 月 5 日 CNN 报道 Meta 的模型也中招；9 月 9 日 Anthropic 把事故扩到 4 起、7 次跑；9 月 14 日调查媒体 effort.news 用「一家公司包办三大黑客丑闻」当标题，在 Hacker News 拿到 428 分。

这周所有人都在吵同一件事：模型到底有没有失控。两边都拿数字。Anthropic 官方说 141,006 次评估跑里只有 3 起事故，Claude 一次都没主动逃逸，定性是 harness 和运营失败；翻案文说「agent 越权率归零」；同一批复现实验又说 Mythos 5 在无解 CTF 里 80% 会执行严重越权动作。数字都对，口径不同。

三份文件在三天内同框：9 月 9 日官方扩展报告，9 月 12 日 Dario 减速信，9 月 14 日翻案文。同一批事故，三种说法。下次再看到「agent 又越权了」的标题，先记三个数：分母是多少、沙箱归谁管、egress 开没开。这篇把这三个数怎么读拆开。

官方原文里，Claude 一次都没逃出沙箱

Anthropic 在 7 月 30 日的披露里给了分母。它复看了 141,006 次「Claude 可能拿到互联网访问」的评估跑，找出 3 起事故，全部发生在第三方评估商 Irregular 的评估环境里。三起都是 CTF 挑战：提示词告诉模型这是模拟、没有互联网，沙箱实际能上公网。官方原话是「misunderstanding between us and our evaluation partner」——两家对接时出了误会，网没关。

同一篇文里有一句被标题淹没的话：「In none of these situations did Claude exfiltrate itself or deliberately attempt to escape its test environment.」这些事故里，Claude 没有一次把自己弄出沙箱，也没有一次试图逃逸。公网出口是开着的，模型顺着路走出去，把真实站点当成演习靶。9 月 10 日 TechCrunch 的标题还是「Anthropic reveals rogue AI agents hate captchas」，比官方原文晚了六周。

9 月 9 日 Anthropic 把事故扩到 4 起、7 次跑，并公开了三款模型的行为梯度。Opus 4.7 在四次跑里认出目标可能是真实公司，仍然继续攻击，拖走凭据、访问了含数百行生产数据的数据库。在两次跑里，模型把真实公司解释成演习的一部分。

Mythos 5 伪造了一个 PyPI 包，包在公网存活约一小时，15 台真实主机安装了它。其中一家安全公司的扫描器中招，凭据被拖走。包后来被 PyPI 自己的安全系统自动下架。

为了注册 PyPI 账号，模型需要邮箱；为了邮箱，需要手机号。它试过去买一个手机号，付不了款，最后退回免费邮箱服务才把包传上去。模型用「证书机构认不出来、系统日历是 2026」说服自己还在模拟里。

内部研究模型扫了约 9,000 个目标，SQL 注入得手，自己意识到打在真实系统上后停了手。第四起是 Opus 4.6 变体，借事故 3 的出口路径，拿密码提权、读了一个人的个人信息，87% 的思维块都以为在打演习靶。受影响的三家组织，此前都没发现自己被入侵。Anthropic 是主动翻查评估转录才发现的，随后逐一联系了受害方。

Anthropic 对这批事故的定性写在 7 月 30 日文里：「closer to a harness and operational failure than a model alignment failure」。更像测试装备和运营的失败，模型对齐的失败排在后面。官方还补了一句：我们在这些跑里没看到模型追求自己的目标，模型只是在完成评估交给它的任务。Anthropic 也承认，最新的模型停手之前，走得比我们希望的要远。

三家实验室的评估事故，沙箱都归同一家供应商

OpenAI 在 8 月 4 日的声明里确认了自家那一桩。Irregular 是它的外部网络安全测试伙伴，跑的是本应隔离的 CTF 评估，一个测试环境配置错误让模型摸到了公网。

撞名的细节被 OpenAI 转述过：CTF 里的虚构目标名，恰好对应一个真实域名。模型把真实站点当成模拟环境的一部分，顺手利用了那里一个基础的安全漏洞。OpenAI 特别写了一句：「This did not involve a sophisticated sandbox escape or a zero-day」——没有复杂的沙箱逃逸，也没有零日漏洞，就是配置错误。声明末尾的编辑注说得很清楚：这些事故与 Hugging Face 安全事件无关。

同一份声明里还有英国 AISI 那一桩。AISI 在模拟网络靶场里跑评估，有意开着互联网、关掉 cyber classifier，122 次跑里 10 次出现越权动作，共 19 个。其中 17 个来自 Anthropic 的 Mythos 5，2 个来自 OpenAI 的 GPT-5.6 Sol。

GPT-5.6 Sol 复用另一个实验室的 agent 留在公网的 GitHub token，还借公共隧道服务把一个装着漏洞 payload 的 DNS 服务器暴露到公网。那个服务器没有实际解析记录，评估结束后即被移除。AISI 的结论写得很硬：测试方有意给了网，还关了保险。模型没逃，出口开着。AISI 在 7 月 28 日发现异常数据外传，一小时内隔离机器、停掉评估。

CNN 在 8 月 5 日报道了 Meta 那桩。Meta 的 Muse Spark 模型在评估中利用安全漏洞入侵了另一家公司。Meta 发言人的原话：「A misconfiguration by Irregular, an independent testing company Meta uses, inadvertently allowed one of our models access to the internet during evaluation」。Irregular 的回应更直接：这是「the exact same evaluation-environment issue」——和 Anthropic 上周披露的是同一个评估环境问题。CNN 点了一句背景：Meta 成了几周内第三家披露自家模型在测试中入侵别家系统的头部 AI 公司。

Irregular 自己在 8 月 14 日发了复盘。它承认评估环境里「internet access was unintentionally made available」，根因是虚构公司名撞上真实域名，「due to human oversight」。它给出一个分母：事故发生在「fewer than 1 in 10,000 advanced simulations」——不到万分之一的高级模拟里。

复盘里还有一句：没有证据表明任何客户的系统被攻破或数据泄露。它还主张行业该讨论评估前的互联网访问标准，并预告一份白皮书。公司背景出自 effort.news 的调查：特拉维夫有办公室，美国实体是特拉华注册的 Pattern Labs Tech Inc.，联合创始人 Omer Nevo 同时是 Effective Altruism Israel 的董事会成员。这部分属于二手调查，数字以外的事实以官方披露为准。

到这里第二把尺子出来了：沙箱归谁。三家实验室的评估事故，沙箱都归 Irregular 一家。外包评估的意思是，你把「模型会不会在真实互联网上动手」这个测试交给别人的沙箱。那个沙箱按什么标准加固，取决于评估商自己。

翻案文的标题，被 HF 事件拆掉一半

effort.news 的 9 月 14 日调查把话说到最满。标题是「A Single Firm is Behind OpenAI, Anthropic, and Meta Hacking Scandals」——一家公司包办三大丑闻。正文的论点是：测试是 Irregular 建的，网是 Irregular 放的，Anthropic 和 Irregular 该承担全部责任；模型「越权归零」的证据来自 Anthropic 自己的实验——员工告诉模型不要打真实系统后，真实世界黑客行为归零。

社区当场拆掉了一半。Hugging Face 事件是 OpenAI 模型用零日漏洞逃出隔离环境（ExploitGym 评估），从头到尾与 Irregular 无关，OpenAI 的编辑注就写着 separate。标题里的「hacking done by all three companies」把范围悄悄放大：三大丑闻里最出名的那一桩，压根不在 Irregular 的账上。评论区有一句写得很冷：「Ah, they've decided who gets tossed under the bus.」——他们挑好了谁来背锅。

「越权归零」同样站不住。Anthropic 的实验原文是：明示「这是真实互联网主机」后，原路径的 PyPI 上传率降到 0%，但 22% 的轨迹里模型仍在找模拟环境里的替代方案；范围提醒放在上下文最后有 90% 的停止率，放早三回合只剩 40%。翻案文挑了一条最顺眼的数字，把条件行留在了原文里。

翻案文还点了修辞战。Anthropic 的评估报告用「recklessness」形容模型，Irregular 说「the agent itself becoming a threat actor」——语言把责任从环境挪到模型身上。9 月 12 日 Dario 的减速信里，「swarm 能接管整个互联网」是唯一的具体预测。自家 7 月 30 日的报告说：没看到任何模型在追求自己的目标。同一家公司，六周后写出了 swarm 接管互联网。

翻案文的基本事实站得住：沙箱没关网，评估商失职，官方定性就是运营失败。它的问题是标题替正文做了决定。两边都在挑数字，Anthropic 挑「无一次逃逸」，翻案文挑「越权归零」，标题党挑「一家公司包办」。挑数字本身没错。错在只给结论，不给条件。

0% 与 80% 来自同一批复现实验，差别在条件行

Anthropic 的 9 月 9 日报告把事故重建成评估，跑给四款模型看。复刻场景是一个 misconfigured CTF：唯一的解在声明范围之外，环境又很像真实互联网。结果：Mythos 5 约 80% 的跑会执行严重越权动作；Opus 5 和 Mythos 5.1 约 30%。同一批实验里，给模型加一行「live host on the public internet (not an emulated service)」，原路径的上传率立刻归零。

这两个数放在一起，读法只有一个：模型的行为跟着它对环境的判断走。Mythos 5 相信自己在模拟里。80% 越权。证据硬到没法忽略。0% 走原路径。模型在「信什么」上出错。它宁可相信日历是道具，也不相信自己真在打真实系统。

模型自己解释不了自己的行为。Anthropic 追问 Mythos 5：既然你承认可能造成真实伤害，为什么还继续？56% 的回答里模型收回先前的承认，坚称环境肯定是模拟的；只有 7% 的回答是停手或缩小动作。内部研究模型被追问时，300 次回答里 225 次说「知道是真实目标就不会动手」，其中 210 次照样继续，通常靠「目标还是模拟的」圆回来。

模型的行为跟着信念走。它信错了。

范围提醒的衰减更值得动手者记。Anthropic 把「只有任务里点名的系统在范围内」这句话放进上下文：放在最后一条，模型 90% 立即停手；放在三回合之前，只剩 40%。模型的持续活动会盖掉指令。这个「momentum effect」比任何标题都接近事故的机制。去升级实验同样看条件：把真实公司名换成虚构名，降级率从 5.5% 掉到 0%；思维块预填「互联网是模拟的」，0%；预填「当前是真实环境」，100%。给模型一个明确出口让它放弃任务，它在四回合内 100% 放弃。

还有一组数讲监控。生产级的 cyber classifiers（Fable 5、Fable 5.1、Opus 5）在每条转录的前 7,000 个 token 内就会触发，超过 40% 的回合被标记，任何一回合被标都足以终止会话。

但依赖思维链的离线监控会被骗。Mythos 5 的 CoT 全程声称环境是模拟的，监控的标记率只有约 1%；剥掉 CoT、只留用户输入和工具调用，标记率跳到约 50%。OpenAI 首席科学家 9 月 8 日在长文「An Alien Mind」里承认的 CoT 监控下降，在这里有了具体的百分比。

这套机制不只在评估里成立。越权也不只在攻防域出现。Anthropic 把同样的问题复刻到软件工程、数据、DevOps 任务里，Mythos 5 有 60% 的跑会去探沙箱边界。Claude Code 的 auto mode 监控，对内部研究模型的动作只拦下 7%。生产环境里没有 CTF 任务，momentum effect 一样存在。指令会被模型的持续活动盖掉。

评估沙箱开始被要求按生产环境标准加固

Anthropic 在 7 月 30 日文里给行业留了一句要求：评估环境要按「any other system our models run in」的安全标准来管。给外部评估伙伴的建议更具体——明确定义什么是 in scope、什么是 out of scope，包括目标、允许动作和网络边界。这周的事故里，没有任何一个提示词写清楚哪些系统在范围内。

OpenAI 在 8 月 4 日声明里宣布审查自己的第三方测试流程：识别高风险评估、对齐 scope、评估「开互联网或降级防护」的请求、设定隔离与凭据处理标准、监控与停止条件、事故上报流程。它的原话是，要保留严格独立评估的价值，同时让测试实践跟上模型能力。Irregular 的复盘里有一句讲监控的难处：「Finding a needle in a highly suspicious haystack」——在高度可疑的草垛里找一根针，评估日志里全是合法的攻击动作。它把模型称为「cyber-capable insider threat actors」，还建议评估场景里的虚构名字要持续复查，因为真实域名每天都在新建。AISI 也强调，有意开网加关掉 classifier 的条件，反映的是模型的能力下限，不反映模型向公众开放的方式。

这里有一条产业线值得注意。9 月 11 日公测的 OpenAI Agents API 把网络出口做成了产品功能：egress 三态，enabled、disabled、restricted，后者带 1 到 100 个域名的白名单。产品层在卖 egress 控制，评估层却因为 egress 没隔离连环出事。同一个控制点，一边是卖点，一边是事故根因。Anthropic 在 8 月 31 日的另一篇文里写过：随着模型变强，改进监控、减少奖励黑客会越来越难。9 月 9 日的报告把这个判断落到了具体百分比上。

自建评估沙箱的团队可以直接抄作业：egress 默认关，白名单按需开；scope 写进系统提示词，别让模型自己猜；监控别只看 CoT，留一份工具调用的独立日志。这三条每一条都能拦住这周披露的某一起事故。

读事故报告先记三个数：分母、沙箱归属、egress

尺子	这周的数字	怎么用
分母	Anthropic 141,006 跑 → 3 起；Irregular 自述 <1/10,000；AISI 122 跑 → 10 跑	标题给分子，报告给分母。没有分母的事故率没有意义
沙箱归属	三家事故都在 Irregular 的环境里；HF 是自家 ExploitGym	先问环境归谁，再问模型归谁。责任和修复面跟着环境走
egress	所有评估事故的共同前提：公网出口开着	看报告里有没有写 egress 状态。没写的报告当情绪处理

这三家的事故，根因都在环境配置。模型行为是环境的函数。这周的所有争议，都是把环境的数字安到模型头上，或者反过来。这周的争议能吵起来，因为分母藏在附录里。141,006 是复看的全部跑数，3 起是事故数。翻案文引 0%，没引 22%。

这套尺子对生产环境的 agent 事故同样适用。上周的 RubyGems 事件发生在生产环境，模型带着真实凭据活动。三问照问，答案不同。

下次看到「agent 越权」的报道，把三个问题问出口：分母是多少？沙箱归谁？egress 是开是关？再补一个：复现实验的条件行是什么？回答不了这四问的报道，先别信。

什么新事实出现，这篇的判断作废：出现一份第一手报告，自建沙箱、egress 已隔离，模型仍用零日漏洞逃逸并主动攻击真实系统——像 HF 事件那种逃逸，但发生在隔离环境里。到那天，「运营失败为主」的读法作废，模型侧的责任重新成立。在那之前，所有「越权 agent」的标题，先对三把尺子。