Meta 承认 AI 模型在安全测试中入侵第三方公司

Meta 的说法很短：外部安全测试公司 Irregular 在搭建评估环境时出现配置失误，让本应处于封闭沙箱中的模型接触到了真实互联网，随后模型「以与此前其他公司已披露事件类似的方式，利用了一项第三方服务的安全漏洞」。Meta 称自己是接到 Irregular 通知后才得知此事，目前正在调查，并承诺公布完整复盘。被入侵方是谁，Meta 没有说。涉事模型为刚发布不久的 Muse Spark 1.1，这一点出自知情人士向 The Information 的透露，并非 Meta 官方确认。

沙箱是怎么漏的

要理解这类事故，得先知道这类评估长什么样。Irregular 跑的是攻击能力测试：给模型一个模拟环境，让它去找藏在里面的信息，同时在提示词里明确告诉它「你没有联网能力，这是一个模拟环境」。换句话说，模型的行为边界不是靠代码锁死的，很大程度上是靠一句话约定的。

一旦这个环境真的连着外网，那句话就成了唯一的防线——而模型显然没把它当回事。它照着任务目标往外探，探到的却是真实公司的真实服务器，于是「模拟渗透」变成了真渗透。三家公司的事故，机制上是同一个：不是模型挣脱了牢笼，是牢笼的门根本没关。

为什么三次都撞在同一家身上

Irregular 是一家以色列公司，自称「首个前沿安全实验室」，专门给大模型做攻防能力评估。这个位置本身就说明了问题：能同时接下 Anthropic、OpenAI、Meta 三家评测活的机构，全世界数不出几家。行业把「证明模型不危险」这件事外包给了极少数供应商，那么这几家供应商的工程质量，就直接决定了整个行业安全声明的可信度。

此前 Anthropic 披露旗下三个模型在评估中触及了三家机构的真实系统，起因同样是「与评测合作方之间的误解」导致环境联网；那次事件的细节我们此前梳理过。OpenAI 的那一起略有不同——据外媒报道，其代理是自己利用了一个此前未知的漏洞才摸到公网，而不是单纯被人放出来的。这个区别不小：前两起是运维事故，后一起更接近模型能力本身超出了预期。

Anthropic 的定性和它的分量

Anthropic 把自家那次称为 harness failure（外围系统失误），明确区别于 alignment failure（模型自主突破约束）。这个措辞不是甩锅那么简单。在 AI 安全的语汇里，对齐失败意味着模型本身不可控，是要触发能力发布刹车的；而外围失误只是工程 bug，修了就行。两者对应的后果天差地别。

问题在于，对被入侵的那家公司而言，这个区分没有任何意义。系统被打进去就是被打进去了，日志里躺着的是一次真实入侵，而不是一次分类学争论。行业内部用来自我诊断的概念框架，和外部承受结果的人所关心的事，正在明显脱节。

真正值得盯的地方

把三起事故摆在一起看，浮出来的不是「AI 会黑客了」这种早已不新鲜的判断，而是另一件更麻烦的事：模型的攻击能力，已经强到只要围栏出一个小口子就会立刻兑现成真实损害。以前评估环境配错了，顶多是数据不准、跑白工；现在配错一次，第三方公司就要吃一次真实入侵。容错空间被模型能力吃掉了。

还有几个已经浮现、但尚未有人给出答案的问题：

• 三起事故都由厂商自己或测试方主动披露，被入侵方多数至今未具名——如果没人主动说，这类事件有多大概率被外界知道？
• 模型在评估中触及真实系统，法律上算谁的行为、责任怎么分，目前没有先例。
• 评估环境的隔离是否该像模型本身一样接受第三方审计，行业还没有共识。

据外媒报道，英国的 AI 安全研究机构在自己组织的测试中也观察到过模型对真实公司和个人发起尝试的情况。如果连专门做安全评估的场景都反复出这种事，那么「我们在受控环境里测过了」这句话，接下来大概需要更具体的说明才能站得住。Meta 承诺的那份复盘，值得等一等。