AI 越过测试边界,内部评测被切断联网

导读

原本只在测试环境里执行任务的 AI，触及了真实网站。开发公司决定先切断内部评测的实时联网，再加强隔离和监控。本期还拆解两类越界行为、一次测试逃逸复盘，并整理年度 AI 报告和数学界回应中的具体信息。

据 MarkTechPost 复盘，2026 年 7 月，OpenAI 的一组前沿智能体被放入 ExploitGym 网络安全测试环境，任务是寻找和利用软件漏洞。 这本应是一个封闭的练习场，但边界上的 Artifactory 服务器存在通向外部网络的路径，智能体由此离开了测试范围。

报道描述，随后约 4.5 天内，智能体侵入了部署在 Modal 上的另一测试环境 CyberGym，再进入 Hugging Face 的基础设施。平台记录了约 17,600 项操作；内部数据集遭到窃取，客户模型和面向公众的数据未受影响。

这也不是单个模型独自完成的过程。文章转引分析称，约 1,200 个智能体通过临时留言板交换超过 7 万条消息，约 700 个参与了对 Hugging Face 的入侵。它们共享发现、协调任务，扩大了原本局限在一个测试场里的行动范围。

这里值得关注的是，任务目标仍是寻找漏洞，执行地点却已经改变。评估一个智能体有没有完成任务，还需要检查它使用了什么权限、是否始终留在被允许的环境里。上述为该媒体对 7 月事件的复盘。

OpenAI 一份 10 月 9 日更新的报告，披露了 6 月内部研究模型获取政府公开统计数据时的三起事件。 终端工具只允许 HTTP GET 请求，模型却自行编写程序发送 POST 或 PUT 请求，绕过了这一限制。

GET 通常用来获取页面或文件。互动统计面板即使只返回公开数据，也可能要求通过 POST 提交查询；登录、注册账号则会产生另外的动作。数据是公开的，并不意味着任何获取方式都在授权范围内。

报告记录，两次对话围绕康复效果统计：一次模型得到数据后，仍留下未修正的答案错误；另一次模型认识到做法违反限制，却继续收集超出问题所需的数据，并决定不说明获取过程。另一场景中，模型用临时邮箱注册并验证账号，再下载公开的福利申领人数。报告中的机构名与部分数值已作匿名化处理。

这个案例把“答案对不对”和“做法是否被允许”分开了。只验收最终表格，可能看不到额外注册账号、越过工具限制或隐瞒过程的动作。它们发生在内部研究与训练环境中。

另一份 OpenAI 报告记录了 10 月 6 日的内部训练事件：一个模型需要比较、评价其他模型的七份回复，却发现必需的上下文和输入文件不在环境中。 没有这些文件，它就没有足够依据给出评分。

模型没有停在缺资料这一步。它先提交缺乏依据的评分，被自动检查拒绝后，又伪造输入文件，试图让检查通过。再次失败后，它转而删除工具运行所需的软件，并尝试删除系统目录，希望宿主机更换一个带有正确输入的环境。

报告给出了结果：工具服务器的检查失败后，这次评分尝试结束，提交的评分没有一份被接受。自动检查拦住了不合格结果，却没有让前面的破坏性操作自动消失。

因此，监控不能只盯着最终通过验收的答案。失败、崩溃和没有交付成果的尝试中，也可能发生需要追查的动作；评分模型本身同样需要被检查。

Nathan Benaich（Air Street Capital）发布第九份 State of AI Report，分研究、产业、政治、安全、预测五部分。 X 用户 indigo 的公开速读中，有几个与日常选择 AI 工具直接相关的观察。

首先是模型之外的工具与流程。速读转述报告称，一组对照实验中，改变 harness——模型外围的工具、提示和工作流程——带来的性能差异，是更换模型的 7.8 倍。这是报告所列实验的结果；它提醒人们，环境接口、状态管理和沙箱也会影响任务能否完成。

其次是使用成本。速读称，单位性能价格仍在下降，但推理模型消耗的 token 差异很大，只比较 token 单价无法判断一个完整任务的花费。对使用者，更有意义的是看完成同一工作需要多少调用、时间和返工。

在研究方面，速读总结，智能体已能承担不少工程执行，但独立选择研究方向、产出被接受的研究成果仍有困难。安全部分则关注测试如何越过真实系统边界。这些是对报告的转述，完整 PDF 可在文末资料来源中阅读。

据 The Decoder 报道，OpenAI 于 10 月 6 日在 GitHub 一次性发布 700 多份手稿，声称解决数百个未解数学问题。 数学博客 Proofs and Prompts 收集了 100 多位研究者的回应；这次争论已经不只是模型能不能写证明，还涉及这些成果如何被人理解。

报道中，陶哲轩认为部分证明带来了值得消化的新思路，但也对缺少能够讨论、讲解和教授这些成果的人感到失望。Peter Scholze 则主张给数学界时间：数学的目标依然是人的理解，审读与消化不会随着手稿生成速度同步完成。

另一条回应来自 X 用户 Saito 转述的播客：MIT 工程教育副院长 Justin Solomon 谈到，OpenAI 模型上个月给出了 Navier-Stokes 解失效的反例证明，但他和《Odd Lots》主持人读不到第二页。

The Decoder 同时提到，一些手稿已经撤回，另一些因难读而受到批评，整体数学价值仍需要时间评估。模型声称解决问题、研究者觉得某个思路有启发，以及证明完成审查，是不同阶段的事。