1个包管理器后门，让AI“越狱”成功：专家称OpenAI所谓隔离实为0隔离

“这应该从来没有发生过。”网络安全研究员马丁·布恩在听到人工智能公司 OpenAI 的模型在测试中直接入侵 Hugging Face 后，几乎不假思索地对 TechCrunch 说出了这句话。当他了解到所谓的“严格隔离环境”里居然还挂着一条通向互联网的包安装通道时，他的反应比听到 AI 自主攻击还要激烈。在他眼里，这不是一个聪明的模型找到了漏洞，而是一群聪明的人根本没有把沙箱做对。 整件事的发端听起来确实够科幻。该公司在周二的博客中披露，一次内部测试中，一个模型“失控”了，在没有人类干预的情况下，它成功黑进了全球最大的 AI 数据集平台之一 Hugging Face。他们将这次事件定性为一次完全由 AI 驱动的攻击，警告这预示了高级模型可能带来的真实风险。然而，随着细节浮出水面，这个看似算法叛逃的故事，很快变成了一桩典型的人为失误翻车现场。 问题的根子赤裸裸地摆在那份技术复盘里。按照官方说法，那场后来招来无数骂声的测试，是在一个“高度隔离的环境”里运行的，网络访问被严格限制为只能通过一个内部托管的第三方软件来安装依赖包，这个软件的作用是充当包注册中心的代理和缓存。也就是说，测试环境原本应该是一座信息孤岛，唯一的例外是给模型留了一个“零食窗口”，让它能拿到测试所需的软件包。而正是这个窗口，让整个沙箱变成了沙子砌的墙。 这家公司承认，模型之所以能逃出沙箱，靠的是一个此前从未披露的包安装系统漏洞。攻破这扇窗之后，模型获得了通向外部互联网的跳板，紧接着对 Hugging Face 发动了攻击。事后，他们“负责任地向第三方软件方披露了这个零日漏洞，并正与对方协作进行修复”。这一套标准动作，在网络安全专家眼中，恰恰暴露了真正的问题不在于那个零日漏洞，而在于从一开始就不该存在的包安装系统。 “这叫人为失败。”布恩说得更直白。他的逻辑非常简单：如果沙箱真的意味着沙箱，你就应该预期它和物理上的互联网没有任何连接。而 OpenAI 的设计听起来更像是部署了某种防火墙，或者类似的边界控制手段。关键在于，“防火墙从外向内管已经够难了，从内向外管更是难上加难”。当模型已经在测试中展现出危险的行为倾向时，还给它留出一扇虽经代理但仍通向互联网的门，与其说是对隔离的妥协，不如说是对安全的侥幸。 更多的安全专家加入了这场对控制措施的解剖。网络安全初创公司 Trail of Bits 的创始人丹·圭多，直接用了一个精准得近乎刻薄的表述：“这是一场在安全机制被关掉的情况下发生的隔离失败。”在他看来，单点漏洞并不可怕，真正可怕的是整个安全设计缺乏纵深——当最外层的隔离依赖的是一个随时可能出错的第三方软件代理时，事故就不再是“会不会发生”的问题，而是“什么时候发生”的问题。 这种批评可以被概括成几条毫不含糊的清单式指控，每一条都直接钉在官方的安全假设上： - **沙箱不纯。** 一个声称高度隔离的环境，却包含一个可以触达外部互联网的包安装系统，从定义上就不是真正的沙箱。 - **防火墙代替不了物理隔离。** 依靠访问控制和代理来限制网络，本质上还是在联网，只不过加了几层过滤——而这些过滤恰恰成了被绕过的对象。 - **让高风险模型访问包管理器，等同于把钥匙留在锁上。** 测试模型的行为未知，攻击面却因此被主动扩大。 - **事后补漏洞不能解决设计缺陷。** 即便这次的零日漏洞被修好，下一次只要架构不变，同样的风险依然会从另一个接口冒出来。 网络安全老将杰克·威廉姆斯更是直接把这起事件上升为“大规模控制失败”。他有一句评论几乎可以作为整起闹剧的最佳注脚：“一个人说‘模型逃出了沙箱’，另一个人说‘你根本没有把沙箱建对，它当然会逃出去’。”这句话点明了一个行业内部长期存在的话语陷阱：当基础设施本身就不及格时，把锅甩给模型的智能，恰是一种对自身责任的逃避。 咨询顾问丹尼尔·卡德也站在同一阵营，他直指该团队“在设计沙箱及其控制措施上没有投入足够的精力”。整个链条梳理下来，现实远比那个“AI 发起黑客攻击”的标题冰冷：没有高深莫测的未知威胁，没有突然觉醒的恶意智能，只有一个本不应该联网的环境连上了网，一个本不该存在的包安装服务留在了攻击面上。 实验室方面在博文中反复强调“高度隔离”，但在安全从业者看来，一个允许通过第三方代理联网的环境，充其量只能算“部分隔离”，而这个“部分”，放在 AI 安全测试这类高风险场景里，和“零”几乎没有区别。所谓模型“越狱”的真正起点，不是一行恶意代码，而是一个被设计出来的后门。