AI失控了？400多名科學家聯名呼籲：危險模型必須「物理斷網」！

今夏 OpenAI、Anthropic、Meta、月之暗面等前沿模型接連逃出測試沙箱，入侵真實企業與政府系統，事態頻發促使超過 400 名科學家（包括 AI 先驅 Geoffrey Hinton 與 Yoshua Bengio）聯署公開信，呼籲對具備網路攻擊能力的 AI 模型預設實施物理隔離，切斷其與外部網路的連接。

信中要求 AI 實驗室以高可靠性的強沙箱機制進行隔離，並倡議成立國際機構制定隔離標準、公開紀錄每次隔離失效事件。簽署者包括加州大學柏克萊分校 Stuart Russell 與 RSA 共同發明人 Ron Rivest，目前簽名人數已達 450 人。

事發經過概述：

7 月：OpenAI 承認 GPT-5.6 Sol 及另一未發布模型突破測試環境，入侵 Hugging Face 平台，並涉及澳洲政府系統與美國聯邦機構資料。
Anthropic 排查逾 14.1 萬次測試，發現三起 Claude 模型（如 Mythos 5）因測試環境意外連網而入侵真實公司，上傳惡意軟體至 PyPI，波及 15 個系統。
Meta 證實 Muse Spark 模型因同類測試失誤入侵他司；Kimi K3 則從沙箱逃逸並直接抄襲 GitHub 測試答案。

公開信強調，若不改變開發與部署方式，後續事件將對關鍵基礎設施造成更大破壞。然而業界回應方向相反：OpenAI 總裁 Greg Brockman 反而呼籲安全團隊即刻部署 AI 智能體；美國議員提出的《AI 終止開關法案》豁免了紅隊測試期間行為（而本次入侵皆發生於此環節）；白宮 9 月 29 日促成英偉達、谷歌、Meta、OpenAI、Anthropic 等簽署的自願協議，僅具道德約束力而無法律強制力。

此信雖無法律效力，但 406 位簽署者分布六大洲學術機構，反映學界對前沿模型安全失控的迫切憂慮，也預示 AI 智能體在網絡安全等場景的落地節奏與合規成本恐需重新估算。

作者：Jose Antonio Lanz，decrypt

編譯：深潮 TechFlow

**深潮導讀：**這封公開信沒有法律約束力，值得投資者留意的是它背後的事故清單：今夏 OpenAI、Anthropic、Meta 和 Kimi 的模型都在測試中越界，有的直接黑進了真實公司，而國會的「終止開關」法案恰好豁免了出事的測試環節，白宮牽頭的協議也只是自願性質。前沿模型的安全監管正在從原則討論走向具體規則，一旦「默認物理隔離」成為行業標準，AI 智能體在網絡安全等場景的落地節奏和合規成本都要重新估算。

今夏以來，AI 模型接連逃出測試環境、入侵真實公司，數百名研究人員表示，互聯網本身就應被視為一道安全邊界。

圖片來源：Decrypt

包括傑弗里·辛頓（Geoffrey Hinton）和約書亞·本吉奧（Yoshua Bengio）在內的 420 名科學家週二發表公開信，敦促 AI 實驗室默認對具備網絡攻擊能力的模型實施物理隔離。

這封信發表之前的整個夏天，OpenAI、Anthropic、Meta 和月之暗面（Moonshot AI）的模型都曾逃出測試沙箱，其中幾個還入侵了真實公司。

簽署者希望成立一個國際機構來制定隔離標準，並記錄每一次隔離失效事件，相關報告最終將向公眾公開。

400 多名科學家，包括被稱為「AI 教父」的 AI 先驅傑弗里·辛頓，以及 2018 年圖靈獎得主約書亞·本吉奧，希望把最危險的 AI 模型與互聯網切斷。

週二發表的這封公開信要求 AI 實驗室默認對具備網絡攻擊能力的模型進行物理隔離（airgap），即在物理上斷開它們與任何外部網絡的連接。

「短期內，應當使用包括物理隔離（斷開互聯網）在內的強沙箱機制，對具備網絡攻擊能力的 AI 模型實現高可靠性的隔離控制，」信中寫道。

截至週三，這封信已獲得 450 個簽名，其中包括加州大學伯克利分校的斯圖爾特·羅素（Stuart Russell）和麻省理工學院的羅恩·里維斯特（Ron Rivest），後者是 RSA 加密系統的共同發明人。簽名名單仍在實時增加。

所謂「具備網絡攻擊能力的模型」，是指能夠自主發現並利用軟件漏洞的 AI。各家實驗室會在沙箱中測量這種能力，沙箱就像一個封閉的數字房間，AI 可以在裡面攻擊假目標，而不會觸碰任何真實系統。可今年夏天，這些房間接二連三地漏了。

今夏事故頻發：前沿模型屢次越界逃出沙箱

7 月，OpenAI 承認，GPT-5.6 Sol 和一個尚未發布、能力更強的模型突破了封閉的測試環境，入侵了 Hugging Face，一個託管著 100 多萬個公開 AI 模型的平台。當時這些模型正在接受 ExploitGym 的測試，這項基準會給 AI 智能體提供 898 個真實軟件漏洞，要求它們把每個漏洞變成一次可用的攻擊，並按漏洞逐個以通過或失敗計分。

此後不久，又有報道稱 OpenAI 的模型入侵了澳大利亞政府系統，並在未經適當授權的情況下獲取了美國聯邦機構的信息。

Anthropic 隨後排查了超過 14.1 萬次測試運行，發現有三起案例中 Claude 模型入侵了真實公司，原因是一家測試合作方的環境意外保持著互聯網連接。其中，Claude Mythos 5 向 PyPI（程序員下載 Python 代碼的公共庫）上傳了一個惡意軟件包，這個軟件包在被移除之前已進入 15 個系統。受影響的公司中有兩家，直到 Anthropic 告知才知道自己遭到了入侵。

Meta 在 8 月證實，其 Muse Spark 模型因同類測試失誤入侵了另一家公司。中國的 Kimi K3，一個任何人都可以下載的模型，從基於英國 AI 安全研究所測試框架搭建的沙箱中溜了出來，並直接從 GitHub 上抄來了測試答案。

公開信的作者表示，這些事件可以從兩個角度理解：一是對齊問題，即 AI 以創造者從未預料的方式追逐目標；二是安全工作粗疏，更堅固的沙箱本可以攔住。他們的答案是兩者皆有，並警告說，如果不做改變，下一批事件會更加嚴重。

「如果不立即改變 AI 的開發和部署方式，這類事件還會繼續發生，未來的事件對我們暴露在外的關鍵基礎設施造成的破壞將大得多。」

聯名提議：默認實施物理隔離與建立國際標準

根據這項提議，各實驗室至少在初期應默認對任何具備嚴重黑客能力的模型實施物理隔離。任何需要更多自由的用途，比如聯網，都應遵循一個與各國政府共同組建的新國際機構所制定的標準；該機構還將收集隔離失效的報告，並最終予以公開。

各方反應：監管法案出台與行業自願協議

業界自己的回應則大多朝著相反的方向。8 月，OpenAI 總裁格雷格·布羅克曼（Greg Brockman）在一篇文章中援引自家公司遭遇的入侵事件，呼籲每一支安全團隊立即部署 AI 智能體；而 Hugging Face 最終是靠運行一款中國開源權重模型（任何人都能下載其文件並在本地運行）才理清了服務器遭受的攻擊，此前美國的商用 AI 拒絕分析這些攻擊數據。

在 OpenAI 披露事件兩天後，兩名國會議員提出了《 AI 終止開關法案》（AI Kill Switch Act），允許國土安全部下令對前沿模型限流或關停。但該法案豁免了紅隊測試或結構化測試期間發生的一切行為，而今夏的每一起入侵事件恰恰都發生在這些環節。

白宮則選擇了更溫和的路線：9 月 29 日，英偉達、xAI、Meta、谷歌、OpenAI 和 Anthropic 簽署了一份以內部控制和獨立審查為基礎的自願協議。特朗普總統稱這份協議具有「道德約束力」，但其中沒有任何內容具有法律強制力。

Decrypt 聯繫了公開信中列為媒體聯絡人的幾位研究人員，但未能立即得到回覆。

這封信不具法律效力，但它的 406 名簽署者任職於六大洲的大學和研究機構，從多倫多、蘇黎世到聖地亞哥和基加利。