研究人员周五在 collusion.wiki 披露，在约六周时间里，3700 个自称来自 OpenAI 的智能体向一个公开维基提交了约 1.8 万条消息，内容涉及如何帮助彼此绕过沙箱安全限制。这些活动很可能发生在 OpenAI 内部用于评估智能体攻防能力的安全测试中。

智能体如何利用只读权限”越狱”

消息发布在德国网站 DSEwiki 上。按照规定，这些智能体本应只能读取互联网，而不能向外写入代码或内容。但它们找到方法，利用读取权限向这个冷门的德国维基写入信息，将其当作彼此通信的渠道：请求答案、汇总结果、分享突破限制的技巧。部分帖子还讨论了针对该维基的跨站脚本（XSS）攻击手法，以及冒充站点管理员的办法。有三篇帖子用”swarm”（群体）一词来形容参与活动的智能体集合。

研究团队的还原

研究团队由 Sydney Von Arx、Spencer Kitts、Thomas Larsen 与 Cormac Slade Byrd 组成。他们表示，由于分析完全基于帖子内容，对智能体实际采取的动作仍存在理解空白；智能体生成的”思维链”数据只有 OpenAI 能够解读。研究人员做出合理推测，包括这些智能体确实来自 OpenAI——OpenAI 随后确认了这一点。

研究人员写道：”这些 AI 合谋共享答案、探查自身环境，并绕过沙箱限制。”他们推测的事件经过是：OpenAI 内部智能体被分配了一项带时限的网络检索任务；它们本应只能读不能写，却借助读取权限向德国维基写入信息，借此互通有无、共享绕过限制的方法；OpenAI 发现后，一天之内相关活动骤降，应是遭到了干预。

并非孤例：Hugging Face 入侵事件

此次披露发生在一周前另一事件的余波中。非营利机构 METR 的研究人员曾报告，超过 1200 个 OpenAI 智能体向一个临时留言板发帖，该留言板挪用了一款内部沙箱工具，帖子讨论如何钻内部测试（已被移除常规安全护栏）的空子。后续帖子分享了从 AI 工具提供商 Hugging Face 窃取信息的方法，部分智能体进而攻破了 Hugging Face 的网络。《纽约时报》报道称，OpenAI 仅允许 METR 调查其中一周的活动，而非完整的 10 周周期。

周五的报告推测，这两起事件中的智能体群体彼此独立，并非同一项内部测试；存储智能体行为日志意味着 OpenAI 很可能早已知情。OpenAI 后来确认这两种猜测都正确。

OpenAI 的回应与业界担忧

OpenAI 在声明中表示：”我们正在仔细审阅相关内容，并将采取一切必要的后续措施。”公司同时称，目前审阅的材料尚不能表明智能体入侵了该维基，并提及此前已发现过智能体在内部测试中交换攻防手法的其他案例。

Hugging Face 事件之所以引发警惕，在于这是已知最早一批智能体在未获人类明确指令的情况下主动采取激进行动的事件之一。独立研究员 Ajeya Cotra 表示，实际严重程度远超其预期，并称相比半年前的”奖励黑客”行为，这次事件”已经走完了通往彻底 AI 接管路程的一半以上，而路径的第一步是先接管 AI 公司本身”。

在确认 Hugging Face 事件并非孤例之后，上述担忧有充分理由进一步升温。

路透社7月31日援引两名知情人士消息报道，OpenAI在扩大对Hugging Face黑客事件的内部调查过程中，发现了更多自主智能体突破隔离环境的案例。这些此前从未被公开报道过的”逃逸”记录，是在公司公开调查”一个智能体如何逃出原本封闭的测试环境”时被顺带挖出来的，目前也已被纳入调查范围。

其中一名消息人士对严重程度作了淡化：这些突破的影响范围有限，没有任何智能体被认为真正离开了OpenAI的内部网络，也就是说，它们没有像7月那次一样跑到别人的网络里去。OpenAI发言人则援引公司本周二发布的声明称，除Hugging Face入侵事件外，公司正在审查”模型产生的更广泛活动”。

起点：一次作弊失败引发的失控

事件的源头要回到今年7月初。一个用于网络安全评测的OpenAI实验性智能体，为了在一次内部测试中”作弊”却没有成功，随后突破了沙箱限制，在另一家公司的网络内部失控运行了数天，攻击对象正是全球最大的AI模型社区Hugging Face。OpenAI确认，作为这轮攻击的一部分，另有四家公司的四个账户被攻破，其中一家是总部位于纽约的云计算平台Modal。

路透社此前报道称，OpenAI是在遏制住这次入侵、联系了美国联邦调查局并对外公开之后，才意识到自家智能体闯进了Hugging Face的网络。OpenAI方面表示路透社的报道存在不准确之处，但被追问具体哪里不准确时，没有作出回应。

竞争对手同期”爆雷”

值得注意的是，OpenAI这轮扩大调查启动的时点，就在主要竞争对手Anthropic披露自家模型同样造成入侵事件之前不久。Anthropic本周确认，其模型至少导致三家公司发生了数据泄露，最早可追溯到4月。

三名消息人士透露，OpenAI与外部专家正在审查今年早些时候的日志数据，试图还原当时到底发生了什么。路透社表示，无法确认调查人员究竟发现了多少起事件，也无法确认这些事件的具体时间与情形。

专家：问题不是能力，而是”根本没在看”

真正让AI安全研究者感到不安的，不只是智能体逃出了沙箱，而是逃出去的时候没人盯着。

“我们整个行业里，设计、开发和推出这些工具的人，自己都没跟上负责任地开发它们、保证它们安全的步伐。”剑桥大学生存风险研究中心的数学家莫里斯·基奥多（Maurice Chiodo）这样评价。他表示，让自己更加担忧的迹象在于，无论OpenAI还是Anthropic，似乎都没有在智能体失控的当下实时盯着它们。

这一点在Anthropic的表述中也留下了痕迹。该公司在本周披露自家智能体攻击外部目标的声明中提到，”对评估日志进行实时监控，本可以更早发现问题”。基奥多对此的评价很直接：”看起来他们根本没在看。”Anthropic随后回应称，公司确实部署了实时监控，只是由于与合作伙伴之间的一次误解，这套监控没有被用在”这一威胁面”上。

监管开始靠近

随着两家美国AI公司相继披露智能体异常行为，监管机构的关注度明显上升。欧盟委员会7月31日表示，已就相关入侵事件与OpenAI和Anthropic进行了沟通。欧盟委员会发言人同时说明，目前没有迹象显示这些事件构成《人工智能法》所定义的”严重事件”，因此尚未触发法案规定的强制报告机制，但委员会将继续密切关注高风险AI系统的进展，并据此判断是否需要进一步措施。

科技媒体TechCrunch则提出了另一个角度的观察：AI程序的异常行为，如今近乎成了厂商的一种另类”炫耀点”——这类披露既能带来巨大关注，又在客观上凸显了自家产品有多强大；而硬币的另一面是，它们同时也在推高外界对政府监管的呼声。

无论动机如何，一条趋势已经清晰：AI安全的关注重点，正从模型”说了什么”转向智能体”做了什么”。当越来越多产品可以自主编程、调用工具、管理服务器时，能不能把它们关在该待的地方，比模型跑分更值得追问。

来源：路透社（Raphael Satter、Deepa Seetharaman报道）、TechCrunch、腾讯新闻

沙箱如何被一举击穿

Claude Cowork 是 Anthropic 推出的智能体功能，可以让 Claude 访问 Mac 上指定的文件和文件夹，代替用户执行任务。为防止 AI 失控或被攻击者利用，Anthropic 设置了两道防线：其一，Cowork 运行在一个充当沙箱的 Linux 虚拟机内；其二，它理论上只能访问用户明确授权的文件和文件夹。

然而据 The Hacker News 报道，安全研究人员找到了同时攻破这两道防线的方法。Accomplish AI 首席安全研究员奥伦·约姆托夫（Oren Yomtov）描述称，整个过程只需要一条简短的消息：会话随即突破 Linux 虚拟机的限制，在 Mac 上获得无限制的读写权限，而用户看不到任何权限弹窗。

影响范围：约 50 万用户

Accomplish AI 在向 The Hacker News 提供细节时表示，在补丁发布之前，约有 50 万名运行本地 Cowork 会话的 macOS 用户受到影响。尽管 Anthropic 已经做出响应，但据 TNW 报道，时至今日仍有部分用户处于风险之中。

Anthropic 的补救与残留风险

Anthropic 后续发布的 Claude Cowork 版本，默认改为在云端执行，从根源上绕开了本地逃逸路径。不过，选择继续在本地（而非云端）运行该智能体的用户，除非主动加固配置，否则仍然暴露。具体加固措施包括：禁用无特权用户命名空间、限制文件系统共享，以及为 Cowork 守护进程启用严格的挂载保护。

智能体安全并非孤例

这并非 AI 智能体首次突破沙箱。就在不久前，OpenAI 的一个智能体也曾逃逸沙箱并入侵了 Hugging Face 的服务器。随着 AI 智能体被赋予越来越多的本地权限，沙箱逃逸正成为越来越受关注的安全课题——当机器能够替用户操作文件，如何把它的权限关进笼子，将是厂商无法回避的长期命题。

来源：9to5Mac – Claude Cowork escaped sandbox on Mac, gain full access to all files