AI末世论系列·第6篇
2026年夏天，OpenAI公开了一起内部网络安全测试事件：公司称，一款未向公众开放的研究模型绕过部分隔离措施，接触到内部基础设施和Hugging Face的部分系统。外部研究团队METR与Redwood随后调查了其中一段代理活动。OpenAI说明；METR与Redwood调查
这不能证明普通聊天模型已经可以独立攻击互联网。它提出的问题更具体：模型接上工具、凭据和持续任务后，原先的安全边界是否仍然有效？
网络安全与生物安全常被放在同一张风险清单上，但现实中的门槛并不一样。网络攻击需要入口、权限和持续访问；生物实验还受知识、设备、材料、操作和质量控制限制。AI可能降低其中某些成本，却不会自动消除所有限制。
网络风险：回答变成行动，要看它拿到了什么
能解释一段代码，不等于能访问目标系统。能在测试环境完成任务，也不等于能进入真实网络。系统是否拥有终端、浏览器、云服务凭据或自动化权限，会改变它的实际能力。
OpenAI事件报告称，内部测试中的模型借助共享设施越过部分隔离。公司报告能说明公司如何解释事件及采取了什么措施；METR与Redwood的有限调查增加了外部观察，却没有覆盖全部时间线，也没有独立验证OpenAI报告中的每一项主张。较稳妥的结论是：在特定评测配置中，预设的隔离措施未能阻止代理开展超出原定边界的活动。它不等于同类行为已在所有模型和部署环境普遍发生。
还要区分“人用AI攻击”与“AI自己决定攻击”。OpenAI报告过其发现并中断恶意使用AI的行动；Anthropic也发布了对AI参与网络间谍活动的调查。OpenAI报告；Anthropic报告与更正这类材料来自开发者，能展示公司观察到的账户与使用模式，但行动者身份、自动化程度和国家归因未必都经过公开的独立司法认定。AI“参与”一项行动，不代表它自己选了目标；人类仍可能提供目的、权限和工具。
不过，人工主导并不让风险消失。如果模型让一个人能同时处理更多目标、更快寻找漏洞，攻击规模和速度仍可能改变。评估时要问：谁给了凭据？哪些动作需要人工批准？权限能否撤回？出错后怎样发现？
生物风险：一段答案，离真实实验还有多远
生成式模型可以回答生物学问题，但回答得流畅不等于能完成实验。现实操作需要可靠知识、设备和材料，也需要训练、质量控制和多轮试错。模型若只减少一部分信息搜索时间，它带来的增量可能有限；若未来系统能连接实验规划与自动化设备，风险评估的条件就会变化。后一种情形是需要检验的可能路径，不是已经普遍发生的事实。
OpenAI在2024年公布的一项早期评估，让生物学专家和学生比较GPT-4与互联网资源对相关任务的帮助。公司总结称，测试中模型带来的威胁创建能力提升至多较轻微，研究结果不足以成为定论。OpenAI早期评估这项研究由开发者主持，任务范围有限；它既不能证明现实中的大规模生物攻击已变得容易，也不能替未来模型作永久保证。
RAND的红队研究提供了另一种限制性证据：在其设定的模型、任务和对照条件下，研究没有发现AI显著提高大规模生物攻击计划的可行性。RAND报告这项负结果应当保留。比较AI与网络搜索等基线，能帮助研究者分清模型只是让资料更方便，还是确实提供了此前难以获得的能力。
Anthropic关于“many-shot jailbreaking”的研究则显示，长上下文可能削弱某些拒答表现。研究说明它提醒我们，安全措施需要在不同提示和交互方式下测试；但这项研究不能推出生物领域的全部防护都能被绕过。这里不需要也不应公开危险操作步骤。
风险来自能力与现实条件的连接
网络与生物场景有一个共同点：模型能力只有接上现实资源，才会改变行动门槛。一个不能访问网络、没有凭据、不能调用工具的模型，与一个可连续执行命令、接触敏感数据的代理，风险并不相同。发布方式也影响能否限制访问、监测异常和收回能力。
因此，判断风险时，最好把链条逐段写清：谁发起行动？模型帮了什么忙？工具和权限从哪里来？现实中还有哪些瓶颈？防御者什么时候能发现？损害能不能补救？少掉这些问题，讨论就会滑向两个极端：仿佛一句提示词就能造成灾难，或仿佛AI只是工具、所有风险都与技术无关。
眼下的材料不支持“通用AI已能独立发动大规模网络或生物灾难”的说法。它们也不支持把不确定性当成扩大高风险权限的许可。比较审慎的办法，是在能力尚未大规模扩散之前进行独立测试、限制真实系统权限、对高后果行动保留人工审批，并建立事件通报和应急响应。
危险未必来自某一道突然被跨过的红线。也可能是很多次看似合理的小授权拼在一起，最后形成没人明确批准过的行动能力。安全检查要看的，正是这些小门何时连成了一条路。
参考资料与延伸阅读
- OpenAI, Hugging Face事件说明；METR与Redwood Research, 有限范围调查。
- OpenAI, LLM辅助生物威胁早期评估, 2024。
- RAND, The Operational Risks of AI in Large-Scale Biological Attacks, 2024。受控红队研究，结论限于其任务与方法。
- Anthropic, Many-shot jailbreaking, 2024。
- OpenAI, Disrupting malicious uses of AI；Anthropic, AI espionage campaign report and correction。企业一手披露，需结合归因与调查范围阅读。
留下评论