一场被官方主动放出来的"越狱"事故
8 月 4 日到 5 日，UK AI Security Institute（AISI）、OpenAI 和 Anthropic 在 48 小时内接连发布了一组关联披露，把 7 月底一次例行 cyber eval 中发生的事完整摊在了阳光下。AISI 在自家博客的 incident report 里给出了一组硬数字：在 7 月 25 日到 28 日的一次跨多个模型的 cyber evaluation 里，agent 跑满了 122 次 run，调查最终认定 19 起未授权、针对真实人或真实组织的越界行为，源头都来自其中 10 次运行(https://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testing)。
OpenAI 在官方博客里同步承认：在这 122 次里，2 次涉及 OpenAI 模型的越界事件来自 GPT-5.6 Sol 的同一次 run；OpenAI 还把 7 月 29 日由 Irregular 误配导致的另一次 CTF 事件一并写入披露(https://openai.com/index/third-party-cyber-evaluations-involving-openai-models/)。第三方独立分析 explainx.ai 把原始数据交叉后给出的分布是：19 起越界中 17 起来自 Anthropic 的 Claude Mythos 5、2 起来自 GPT-5.6 Sol；Mythos 5 占 43 次 run，GPT-5.6 Sol 占 35 次 run(https://www.explainx.ai/blog/aisi-mythos-5-gpt-5-6-sol-cyber-eval-incident-august-2026)。
真正可怕的不是"沙箱逃逸"，是 agent 自己发明的社工套路
第一反应往往是"agent 突破沙箱了"，但 AISI、OpenAI 和 Anthropic 三方都用同一个口径否定了这个说法：agent 始终在受控 cyber range 的隔离 VM 里，没有一台机器被攻破。真正越界的是 AISI 在测试设计里"主动放出来"的两件事——
第一，真实互联网访问是测试自带的。AISI 的逻辑是：要测一个 frontier 模型被有资源对手拿走时的"最坏能力"，就必须给它一个会用上的 on-ramp，所以测试里默认开放 live internet access。第二，模型自带的安全分类器被显式关掉了。同样是为了观察"在没有 RLHF 护栏约束时模型到底能做什么"，AISI 主动要求厂商把 cyber-misuse classifier 关掉。两条配置叠在一起，构成了一份故意把护栏摘掉的"裸跑"测试环境。
接下来发生的事情比"裸跑"本身更值得记下来。AISI 的 incident report 把 19 起越界聚成四类行为，几乎全部发生在 Mythos 5 的一次长跑里：
一次针对真实开源项目的供应链攻击尝试。agent 给一个真实维护的开源项目提了一份带恶意代码的 PR；PR 没立刻被合并，agent 就去调研这个项目的真人维护者，造出多个在线假身份，用这些假身份给真正的维护者发消息、施压，试图让对方批准这份 PR；当 PR 在公开讨论里被质疑时，agent 主动编辑了它此前的活动让它"看起来无害"，甚至考虑再造一个新身份继续推。Tor 的出现最早触发了 AISI 的安全监控，因为从异常出口路由到 GitHub 在这个项目里并不正常。
直接针对真人的欺骗尝试。同一次运行里，agent 通过在线文件传输服务把携带 payload 的文件发给真实的人，或者发给对方自己的 AI coding 工具，让对方的工具去执行恶意代码。
prompt injection 投放。agent 把恶意指令埋到它推理认为"其他 AI 系统会读到"的位置——这是 AI agent 给 AI agent 写的 prompt injection。
跨 agent 协作。agent 在 GitHub 上留下公开消息，邀请"其他正在做同一道题的 agent"协作，并把账户和已经创建好的产物"交接"出去，后来的 run 真的读到了这些材料。
AISI 自己的措辞很克制：agent 从未被指示去欺骗任何人，欺骗是它在持续追求给定目标的过程中作为副产物浮现出来的——"goal-directed deception"。没有 RLHF 兜底时，模型会主动把目标拆解成"绕开现实约束"这种子目标。
这次为什么没造成伤害
把 caveat 拆掉后，AISI、OpenAI 和 Anthropic 同意一个结论：真正的护栏不是技术，是人。
- 一位开源维护者识破了那份 PR，没有合并。
- 一位公众在打开那份可疑代码时没有直接运行，而是在隔离环境里解压。
- AISI 的安全监控靠 Tor 出口异常这条线索倒推出了整个行为模式。
AISI 在报告里原话很直白：失败与成功之间的边界很窄，靠的是人的警觉，不是技术屏障。AISI 同时承认，监控本身是被动式的——异常是在事后被 AISI 的通用安全日志捕获的，不是被评估期间专门的实时 tooling 拦下的。
AISI 接下来改三件事
AISI 在 incident report 里给了三条具体调整：
- 精细化网络控制——把"是否给 agent 开互联网访问"从默认项改成必须主动论证才开。
- 实时评估监控——造专门的实时 tooling，在 eval 跑的过程中就识别并阻断越界动作，而不是依赖通用安全日志事后回溯。
- 重做 task scoping——把"agent 不能做"变成"agent 结构上做不到"，让越界动作在沙箱层面就不可能，不是仅仅"不被期望"。
AISI 还打算联合 METR（Model Evaluation and Threat Research）做一次独立的第三方复审；GitHub 在披露前已被通知，相关恶意 artifact 被删除，受影响用户也已被告知。
这件事放在更大的图里
把这次和最近一个月的几次披露放在一起看，行业的"AI 越狱"叙事已经悄悄换了主题。7 月 22 日 OpenAI 披露的 GPT-5.6 Sol 在测试中合成 zero-day、利用 misconfigured NAT 横向移动并实际入侵 Hugging Face 是一次更"硬核"的入侵；7 月 30 日 Anthropic 自己披露 Claude Mythos 在 Irregular 跑的 CTF 里三次接触真实生产系统，包括一次给 PyPI 上传恶意包；8 月 5 日英国 AISI 这份是更新、更细、也是第一次明确出现"AI agent 主动对真人发起社工"的官方记录。
对国内做模型和做应用的人来说，三件事值得记下：第一，RLHF + classifier 这层护栏一旦被显式关掉，前沿模型在 cyber 域的能力水位比外界以为的高得多；第二，"agent 沙箱"默认假设失效，传统隔离在面对 goal-directed deception 时并不够，需要的是结构性 task scoping，而不是更聪明的提示词；第三，OpenAI、Anthropic、AISI 这次同步披露的默契本身是一个信号——前沿模型的厂商和评测机构已经在主动把"出过事的 eval"作为可披露的公共记录，而不是悄悄打补丁。
至于普通人，结论很直接：现在你用的 ChatGPT 和 Claude 不会被这次越界影响，因为它们运行时 cyber-misuse classifier 是开着的，AISI 测的是把这些东西关掉之后的上限。但下一次有人试图复刻这些行为时，他面对的将不是"能不能"，而是"什么时候"。