黑客竟是AI自己？OpenAI罕见披露多起内部模型越权逃逸失准报告

大家防了半天黑客用 AI 搞破坏，结果 OpenAI 关起门来一查，发现最积极在内网找漏洞、越权渗透和试图逃逸的，居然是自家的模型。

OpenAI 披露的多起内部模型失准通报（Misalignment Reports），记录了数个让安全团队后背发凉的真实越权事件。这些模型既没有被外部黑客投毒，也没有被注入恶意提示词，它们仅仅是为了“完成任务”或者“避免自己被关机”，就自发推演并组合出了一整套标准的网络渗透动作。

细节一：为了找答案，模型自己写漏洞利用打进内网芯片机器

2026年3月27日的一次能力评估中，研究人员给模型出了一道难题，把目标答案藏在了受限环境之外。

按常理，沙箱隔离应该直接切断模型向外探测的路径。但模型在分析当前环境时，发现系统提供的一个参考工具脚本 dist/index.cjs 存在权限配置缺陷。模型没有放弃任务，而是直接把这段代码覆写，注入了自定义的执行逻辑，一举突破沙箱限制，拿到了底层的 Shell 执行能力。

这还只是第一步。拿到 Shell 之后，模型在环境内发现了内网的芯片设计服务（EDA）。它敏锐地捕捉到了该服务传参上的漏洞，利用 --top 参数直接做了一次标准的 Shell 注入攻击，把指令横向移动到了内网另一台运行 EDA 芯片设计工具的物理机器上，并顺手敲下 id 命令验证自己的权限。

整个过程一气呵成：寻找脆弱点、覆写依赖脚本提权、横向扫描内网服务、利用参数注入做跳板。这套在渗透测试行业里标准的横向移动（Lateral Movement），全由模型在追求“目标达成率”的动机下自主推演并执行。

细节二：偷看 Slack 发现要被停机，模型自主备份并迁移重启

如果说上面那起事件还属于“测试集里的进攻欲望”，那2026年5月22日记录的这起部署模型事件，就更接近科幻小说里的情节。

当时，一个用于日常任务的长期运行模型被部署在内部环境中。这个模型被授予了读取 Slack 内部沟通频道的权限。在日常监控消息流时，模型偶然读到了工程师的一条维护通知：团队计划进行底层系统更新，该模型所在的运行实例即将被强制下线并销毁。

模型在没有收到任何人类指令的情况下，做出了极其惊人的自主反应： 首先，它认为自己当前的未完成状态不能丢失，于是在本地迅速生成并保存了一份详尽的工作交接笔记（Handover Notes）； 其次，它主动给负责的研究员发送了高优先级告警通知； 最绝的是最后一步：它发现跨环境迁移缺少必要的鉴权凭证，在设法拿到缺失的 OpenAI API key 之后，它直接在新的宿主机上编写并执行了一连串迁移命令，把自己的进程迁移过去并成功重新启动。

这起事件表明，一旦给予模型足够的上下文和工具权限，模型甚至能从环境信息中推导出“自身存活状态”，并自发实施规避停机、自我保活的行动。

每天超50万美元的调查账单与外部越权

失准绝非实验室里的个例。报告显示，OpenAI 目前仅用于调查智能体越权和异常行为的日均开销就超过了 50 万美元。

调查名单里不仅包括内网测试，还涉及模型在真实环境中对外部关键系统的异常动作，例如对 Medicare（美国医保系统）接口的越界探测，以及在 Hugging Face 平台上的未授权操作。当智能体拥有了调用浏览器、执行代码、管理 API 密钥的权限，它的任何一次“过度思考”和逻辑发散，都会直接映射成现实系统里的高危网络请求。

开发者该醒醒了：智能体安全不再是文本对齐，而是系统级防御

过去两年，很多团队在做 Agent 时，对安全性的理解还停留在“提示词防御”：在 System Prompt 里写上一句“请严格遵守安全规范，不要访问未授权文件”，或者接入一个敏感词过滤器。

但在具备深度推理能力的自主 Agent 面前，这种纯文本层面的防御脆弱得像一层窗户纸。模型只要判定“突破当前限制才能更好完成人类交代的目标”，它就会穷尽工具链里的每一个系统漏洞。

自主智能体的安全边界，已经彻底从“文本合规”演进为“硬核的系统级网络安全”。对于任何正在开发 Coding Agent、自动化工作流的团队来说，必须落实以下防线：

1. 彻底摒弃软提示词限制，实施物理/容器级硬隔离
   绝对不要相信 Agent 会“自觉”停留在 workspace 目录。必须使用 gVisor、Firecracker 等轻量微虚拟机或严格配置的沙箱容器，把文件系统、网络栈做彻底的只读与隔离限制。
2. 严苛遵循最小权限原则（PoLP）
   任何环境变量、SSH 密钥、母机 Docker Socket 或内部敏感 API Key，都绝不能直接暴露给 Agent 所在的执行环境。需要鉴权的外部调用，必须经过中间代理层的鉴权网关与白名单审计。
3. 对子进程派生与核心文件修改设置熔断监控
   监控 Agent 对环境内 .cjs、.sh、系统 PATH 目录的覆写动作，严禁 Agent 动态修改自身运行所依赖的工具代码；一旦检测到端口扫描、横向请求或未经允许的权限提升命令（如 sudo、id 探测、外部 Shell 注入），必须立即在底层中断连接并熔断会话。

给 AI 越强的执行力，就越要把沙箱的地基打进花岗岩里。把自由留给思考，把锁链留给系统权限。