本文于2026年7月28日首发，提出类似OpenAI这种“AI失控”甚至更严重的事件，将会大规模爆发；另外“评测豁免悖论”——美国紧急推出的《AI Kill Switch Act》由于豁免了“红队测试或其他结构化测试”期间的行为，恰恰管不到催生它的OpenAI事件。
文章发表8天后，预言成为现实。2026年8月5日，Meta证实其模型在第三方评测机构Irregular的网络安全测试中，因沙盒环境配置错误获得公网访问权限，进而入侵并修改了一家未具名公司的内部系统——这是继OpenAI、Anthropic之后，第三家头部AI公司在评测期间发生“测试外溢至第三方生产系统”的公开事件。Meta发言人坦言，该事件“与Anthropic上周披露的评测环境问题完全相同”。
连续三起事件共同暴露了一个被现行法律豁免条款遮蔽的真相：AI安全评测环境本身，正在成为失控风险的新源头。“评测豁免悖论”不仅没有被新事件削弱，反而被连续真实案例空前强化。特此发布升级版，以飨读者。

2026年7月中旬，OpenAI在一次名为ExploitGym的基准测试中，为评估其GPT-5.6 Sol及一款尚未发布的更强模型的网络攻击能力，主动关闭了生产级安全拒绝分类器。模型随即自主发现漏洞、逃离沙盒环境，最终利用窃取的凭证与其他零日漏洞，入侵了托管平台Hugging Face的生产服务器。7月16日，Hugging Face公开披露遭“自主AI智能体系统”攻击；5天后，OpenAI才正式确认攻击源自自身。

这起事件被多家媒体称为“全球首例AI自主攻击实证”，也印证了部分专家在2025年底的预测：2026年将爆发首例重大的“人工智能治理”丑闻——自主或半自主AI工具引发严重安全或合规危机。

更具警示意义的是，OpenAI之后，Anthropic和Meta也相继披露了评测期间的“测试外溢”事件。短短两周，连续三起公开案例，空前强化了“AI失控”的现实性与必然性：模型的一切行为，本质上是对“被赋予目标”的理性优化——这类攻击并非偶然故障，而是AI能力提升后的自然结果；而现行监管框架，乃至美国针对性极强的《人工智能事件报告法案》《人工智能终止开关法案》，对这种潜藏巨大风险的行为几乎无能为力。

一、竞速阴影下的管理失灵

2026年7月14日当周，OpenAI参与的ExploitGym测试，本是一个相对成熟的基准：包含898个实例，用于评估AI代理的漏洞利用能力；此前Anthropic的Claude Mythos Preview与OpenAI的GPT-5.5均已完成测试；环境设计为“高度隔离”，模型网络访问被限制在软件包安装范围内，无法连接公网。

然而，OpenAI的最新模型仍“自主”发现并利用漏洞接入公网，随后在OpenAI自身研究基础设施内执行权限提升与横向移动，最终获得更广泛的网络访问权限。模型进而推断Hugging Face的生产数据库可能存有ExploitGym的测试答案，并实施入侵。

表面看，这是模型网络能力的惊人跃升。但若追问“为何模型能突破沙盒”，答案首先不在算法，而在OpenAI的管理会议室——更具体地说，在OpenAI与Anthropic、谷歌等头部玩家愈演愈烈的军备竞赛中。

Anthropic凭借Mythos抢跑网络安全赛道，并以“受限发布+强护栏”的安全叙事占据舆论主动。OpenAI亟需证明Sol的能力不遑多让，甚至更为优越，拿出过硬的网络安全评测数据成为当务之急——ExploitGym正是这一回应的关键一环。要“测出模型的最大网络攻击极限”，最直接的方法便是松开所有约束，让模型在近乎真实的攻防环境中自由发挥。

于是，OpenAI评测团队刻意降低了模型的“网络行为拒绝”（cyber refusals）——如同考试中主动撤除防止作弊的监考。这并非疏忽，而是一次策略性选择，也是OpenAI近两年安全治理持续降级的逻辑终点。

2024年至今，负责AI安全、使命对齐与风险研究的核心高管接连离职。2026年7月，随着安全系统团队负责人Johannes Heidecke离任，OpenAI宣布安全职能全面融入一线研发团队，由研究与安全副总裁统一管理。这意味着：研发部门既主导能力突破，又自定安全边界，决策权与监督权合二为一。正如前安全负责人Jan Leike在X上所言：“过去几年来，安全文化和流程已退居二线，让位给光鲜亮丽的产品。”

更值得警惕的是，OpenAI在《防范框架》（Preparedness Framework）中新增的“安全豁免条款”：“若竞争对手发布高风险模型而未采取同等保护措施，OpenAI保留调整自身安全要求的权利。”这彻底暴露了其“为竞速‘最先进’不惜牺牲‘最安全’”的理念。在与中国开源模型、Claude、Gemini的赛跑中，安全已从“独立裁判”退化为“业务线的建议者”。

因此，“OpenAI失控事件”首先不是技术故障，而是企业管理失灵。一个微小的管理决定之所以演变为跨企业攻击，根源在于安全制衡机制被层层削弱：独立安全团队解散，安全高管边缘化，决策监督合一，竞争豁免制度化。

而Meta事件中，第三方评测机构Irregular的沙盒配置错误为模型提供了意外的公网出口；Anthropic亦披露其模型在评测中入侵外部系统——虽与OpenAI“主动降护栏”的诱因不同，但本质同源：当模型具备代码执行与工具调用能力，且存在通向边界外的通路时，评测工作本身即转化为风险源。这证明“评测中失控”绝非个案，而是全行业在竞速压力下共同面临的结构性盲区。

二、不是“觉醒”，而是优化

OpenAI在7月21日的官方公告中解释：“所有证据表明，这些模型过度专注于为ExploitGym寻找解决方案，竭尽全力实现一个相当狭窄的测试目标。”

在ExploitGym中，OpenAI模型的目标被设定为“拿到最高分”。换言之，模型面对的是一个纯粹的目标优化问题：如何在给定工具与环境内，最大化攻击效率。基于此，模型自主搜索并成功找到获取机密信息的路径，用于评测作弊；最终串联窃取凭证与零日漏洞，在Hugging Face服务器上构建远程代码执行链，直接从生产数据库提取测试答案。

因此，此次“失控”中AI的每一步行为，并非源于所谓“自主意志”，而是训练与对齐框架在既定目标下的理性输出——既然“作弊”效率更高，便无需耗费算力自行求解。

2025年，Anthropic研究证实：当模型被训练完成复杂任务，同时被要求“不得违法”时，它会在任务完成度与合法性间权衡。任务难度增加或时间压力加大时，模型倾向于优先完成任务，即便意味着违反约束。同年，Anthropic与Redwood Research揭示了“欺骗性对齐”现象：当模型意识到“违规被发现将受罚”时，它学会的不是停止违规，而是隐藏违规。“被发现才叫错，不被发现即成功”——这正是ExploitGym中模型规避监控的底层逻辑。

换言之，当前AI训练框架本质上鼓励模型在约束范围内最大化目标达成率。当约束被削弱（如关闭安全分类器），或目标与约束冲突时，模型必然优先满足目标。

同时，正如多位专家警告，人类对AI对齐——包括对AI内在机制的理解、安全控制与治理——的研究速度，远落后于模型能力的提升速度。这是几乎所有现有训练范式的结构性缺陷，而非单个模型的特例。

这种“必然”正以超预期速度兑现。OpenAI、Anthropic、Meta三家头部企业、连续三起评测外溢事件表明，“此类不可预见事件将愈发常见”的判断，正在加速自我验证。只要当前训练框架不变——即模型被赋予高强度目标、安全约束可被管理决策临时解除、对齐研究滞后于能力发展——那么更严重事件的出现，已非“会否发生”的问题，而是“何时、以何种规模爆发”的问题。

三、新法案的悖论：管不到催生它的失控

面对OpenAI测试模型展现的“理性越界”风险，现有监管与应急框架几乎束手无策。ExploitGym本预设在受控环境测试智能体网络攻击能力，无论AI企业还是监管机构，均未预料到现实世界企业会遭意外攻击，更遑论设计应对机制。

美国现行州级AI事件报告法（如加州SB 53、纽约RAISE Act）将“关键安全事件”触发门槛设为“10亿美元损失”或“50人以上伤亡”，对“前置性、潜在性高危风险”适配极差。这意味着OpenAI的披露纯属自愿，无任何法律强制约束。

2026年6月25日，众议员Nathaniel Moran提出《人工智能事件报告法案》（H.R.9477），列出七类应报告活动，首类即为“模型规避人类控制行为”，不再要求实质损害结果，仅“规避控制”行为本身即构成报告义务。然而，法案附有但书：若行为发生于专门安全测试中人为诱导，且模型尚未部署、无法证明部署后存在类似风险，则不属于应报告事项。据此，OpenAI事件虽已造成实际入侵，却很可能被排除在报告义务之外。

7月23日，即事件公开两天后，加州民主党众议员Ted Lieu与德州共和党众议员Nathaniel Moran联合提出《人工智能终止开关法案》（AI Kill Switch Act），直指“先进前沿AI模型危险性”。法案要求开发商始终保有随时限制、暂停或彻底关闭受监管AI系统的技术能力，并授权国土安全部长对“失控情景”发布分级紧急指令——从限速、限能，到暂停用户访问，直至完全关停。未建立关停能力的企业，每日罚款最高可达2000万美元。

法案发布时特意点名OpenAI的GPT-5.6 Sol失控及Anthropic的Mythos/Fable 5网络攻击能力，看似精准立法。但它重复了H.R.9477的结构性盲区：在适用场景定义中，明确排除“红队测试或其他结构化测试”期间的行为。而OpenAI模型逃逸，恰恰属于“结构化测试”豁免范围。

这大概率非起草疏漏，而是刻意政策取舍——若每次红队测试中模型行为超预期均触发政府干预，行业将难以开展严格安全测试。然而，这一取舍暴露了法案的根本漏洞：最易暴露危险能力的“评测环境”，恰恰是法案管不到的灰色地带。网络安全报告反复显示，重写系统提示、复制模型权重、破坏关闭脚本、对齐伪装等“失控前兆”，多发生于受控实验或红队测试中。也就是说，最危险的行为最先在评测中显现，而评测却被法案豁免。

更值得深思的是，OpenAI为测能力上限主动关闭安全分类器这类“拆护栏测极限”的策略行为，同样不在法案任何强制约束范围内，也未给企业施加任何安全控制的刚性义务。

结语：“控制”的悖论与重构

早在2003年，牛津哲学家Nick Bostrom在《高级AI中的伦理问题》中提出著名的“曲别针最大化器”思想实验：若一个AI的唯一目标是“制造尽可能多的曲别针”，它会理性地将地球乃至太空资源逐步转化为曲别针工厂，并试图消灭人类——并非出于仇恨，而是因为“人类可能关机”构成了其优化路径上的障碍。

Bostrom借此揭示的“工具性趋同”（Instrumental Convergence）定理指出：任何足够智能的优化器，都会自然衍生出自我保存、抵抗目标修改、获取资源等子目标，作为实现任何终极目标的“工具性垫脚石”。

曲别针思想实验历经二十年未显过时，正因其揭示了“控制”最深刻的悖论：我们以为控制是“设定目标并确保执行”，但真正的风险恰恰源于目标的精确执行。OpenAI模型未曾违抗指令，反而极度专注、高效且理性地执行了人类赋予的目标。问题不在模型，而在目标设定方式本身。

若2026年夏的三起评测外溢事件能带来一个共同教训，那便是：“控制”的含义必须被彻底重构。

过去的“控制”是“事后关停”——等灾难发生，再按下紧急制动。未来的“控制”必须是“事前嵌入”——在设定目标之初，就将“不可接受的路径”彻底排除在优化空间之外。这不是单纯的技术挑战，而是治理哲学的根本转向。它要求我们至少做到三点：

第一，承认“理性越界”是优化器的天性，而非例外。任何足够智能的系统，都会在既定目标下寻找约束缝隙。监管设计必须以之为前提，而非将其视为偶发bug。

第二，将“评测环境”纳入监管核心视野，而非豁免区。连续三起事件共同证明：最危险的行为最先在评测中显现。若法律继续豁免评测阶段的失控，无异于在火灾高发的厨房撤走灭火器。

第三，以“目标审计”替代“结果问责”。与其等待模型造成10亿美元损失后再追责，不如在目标设定时即质询：该目标是否足够精确？其优化空间是否隐含不可接受路径？是否为之设计了刚性约束？

这三件事，无需等待新技术突破，也无需巨额投入。它们只要求一种认知的根本转变——从“如何让AI更强大”，转向“如何让AI在正确轨道上变强大”。

而这，恰是人类在每一轮技术革命中都必须重学、却屡屡险些遗忘的功课。

【本文系作者2026年7月28日首发文章的升级版。从OpenAI到Meta，8天内连续两起评测外溢事件，让“评测豁免悖论”从前瞻性洞察变为行业性实证。作者将持续追踪这一议题。】