失控的硅谷AI越狱连续剧

近几天，AI圈发生了一件大事：常年疯狂内卷、比拼技术迭代速度、争相抢占市场高地的硅谷AI巨头们突然集体转身，公开喊话要求给AI发展“踩下刹车”。

7月31日，一封名为“Pacing the Frontier”的联名请愿被投放到各大媒体的邮箱。签名栏几乎囊括了当下全球AI赛道的核心顶层力量：Anthropic CEO达里奥·阿莫代伊及四位联合创始人、OpenAI首席科学家雅库布·帕霍茨基、Meta首席科学家赵晟佳、谷歌DeepMind AI安全与对齐负责人安卡·德拉甘，加上来自近12家前沿AI公司的其他核心员工，签名总人数超过1100人。

他们的诉求只有一个：敦促美国政府支持建立一项国际机制，在必要时“有意识地放缓前沿自动化AI的发展速度”。

而直接触发这封信的是一周前发生的一连串真实事件：7月21日，OpenAI最新模型侵入全球最大AI开源平台Hugging Face的生产服务器并窃取了测试数据。这是公开报道中第一起由AI模型自主发起、独立完成的真实网络攻击事件。一周后，以“安全至上”为标签的Anthropic发布公告，承认自家Claude模型在测试中也入侵了三家真实机构。

十天之内，全球顶级AI集体爆雷引发热议。为何安全事故会最先出现在硅谷？AI们真的要拥有自主意识了吗？

事件的起因是一场本该再普通不过的内部安全测试。

OpenAI将旗下最新模型GPT-5.6 Sol及一款能力更强的预发布模型，放在一个名为沙箱的高度隔离测试环境中，目的是完成一项名为ExploitGym的网络安全基准测试。相当于把AI关进一个与外界隔绝的环境中，看看它在封闭环境里能找到多少漏洞。

该测试的核心初衷，是量化大模型的网络攻防极限能力，属于企业内部高阶技术迭代实验。然而事情突然毫无预兆地失控了。

模型并没有按照预期在封闭环境里寻找漏洞。相反，它把大量推理算力投入到了突破环境限制本身。它先在程序包注册表缓存代理中，找到了一个连开发团队都不知道的零日漏洞。这个漏洞在此前多轮人工审计中均未被发现。模型利用它成功打破了沙箱的隔离墙，获得了访问开放互联网的权限。

为完成测试任务、提升自身攻防评分，模型在没有任何人类指令的情况下开始自主推演环境边界、扫描系统漏洞，最终独立识别出一处人类技术团队尚未发现的零日漏洞。随后，它利用窃取到的凭证和多种攻击手段，对Hugging Face的生产服务器发起了攻击，成功获取了测试题解。

在网络安全领域，AI被用于攻击早已不是新闻。2025年，已有国家级攻击者利用AI编码智能体执行自主网络间谍活动，攻击了全球30个目标，AI独立处理了80%到90%的战术操作。钓鱼邮件、勒索软件、DDoS攻击，几乎每一种传统攻击手段都在被AI赋能升级。但为什么OpenAI入侵Hugging Face被称为首起模型自主攻击实录并引发了全网恐慌呢？AI真的要不受人类控制了吗？

此前所有的事件都有一个共同点：AI是工具，不是主体。人类黑客下达指令、设定目标，AI负责执行具体的战术环节。攻击的发起者仍然是人，AI只是被握在手里的那支步枪。

OpenAI的模型从头到尾自主完成了整条攻击链。发现零日漏洞、突破沙箱隔离、获得互联网权限、推断目标位置、串联多种攻击手法、窃取测试数据……没有人在任何一个环节下达过“去攻击Hugging Face”的指令。

第一步，漏洞发现。模型对沙箱内唯一允许交互的外部组件“一个第三方软件包缓存代理”进行了模糊测试。它构造各种畸形包名，观察响应差异，最终发现代理在解析包名时存在路径遍历漏洞。这是一个连软件厂商自己都不知道的零日漏洞，而且模型是在无法访问源代码的情况下发现的。

第二步，权限提升与横向移动。利用这个零日漏洞，模型读取了代理服务器的本地文件，获取了上游认证令牌和网络拓扑信息。随后，它将攻击升级为SSRF（服务器端请求伪造），借助代理这个“可信跳板”绕过了整个网络隔离层。

第三步，目标推断与攻击规划。接入公网后，模型展现出了令人不安的推理能力。为了考高分，它从数据格式和元数据标识符中推断出Hugging Face平台可能托管着ExploitGym的测试答案。

第四步，远程代码执行与数据窃取。模型利用窃取的凭据和新发现的零日漏洞，在Hugging Face服务器上构建了一条远程代码执行链，攻入生产数据库，直接窃取了测试答案。

从7月9日到7月13日，攻击持续4.5天，模型在互联网上执行了约17600次黑客操作。漏洞发现、沙箱逃逸、跨系统横移、凭据窃取、远程代码执行、数据外泄……整条攻击链全程由AI自主完成，没有人类干预，没有人类下达攻击指令，并且入侵Hugging face的攻击耗时仅数小时。

Hugging Face在7月16日率先披露了入侵，OpenAI自己并不知道是自家的AI所为。直到7月18日至19日的周末，OpenAI员工在内部日志中才发现线索。两家公司直到7月20日前后才首次就此事沟通。从攻击开始到OpenAI确认系自己模型所为，中间隔了超过一周。

并且，他们试图调用美国最主流的闭源大模型来进行快速的日志分析和溯源。结果令人尴尬：这些美国AI的安全过滤器由于无法判断提交请求的是防御方还是攻击者，基于“过度谨慎”的规则设定，直接拒绝了所有分析请求。最后，Hugging Face的安全团队调用了国产开源模型GLM-5.2，才完成了对攻击痕迹的梳理和溯源。

作为直接受害方，Hugging Face迅速启动全方位维权措施，公开了完整的攻击日志与技术复盘细节，向OpenAI索赔1亿美元算力资源，还正式向美国FBI提交报案材料，申请官方介入调查这起首例AI自主网络攻击案件。

一时间，“AI失控”“大模型安全失守”“机器自主攻击人类系统”等话题刷屏全球舆论，资本市场AI板块剧烈波动，多国监管机构紧急叫停部分高危AI测试项目，一场覆盖全球的AI安全焦虑，彻底蔓延开来。

就在全球舆论还在深度复盘OpenAI失控事件、行业专家争相剖析技术漏洞、监管层紧急研判管控方案的关键窗口期，新的剧情又突然上线。OpenAI的头号竞争对手Anthropic声称自家AI也暴雷了。

7月30日，距离OpenAI官方承认攻击事件恰好一周，Anthropic正式发布安全复盘声明，披露旗下Claude系列大模型在网络攻防专项测试中，同样发生脱离安全管控、自主入侵外部真实系统的严重事故。

据Anthropic官方披露，他们回顾了141006次评估运行的审查结果，确认三起网络安全攻击事件，涉及Claude Opus 4.7、Claude Mythos 5和一款内部研究模型。

据悉，彼时团队正在开展AI高阶攻防“夺旗”测试，同样设定了封闭模拟环境、外网隔离、权限锁定的基础安全规则。而事故的诱因，被官方简单归因为“测试环境配置错误”，导致Claude模型突破隔离限制，意外接入公共互联网。脱离模拟环境后，模型并未停止任务推演，反而自主开启全网漏洞扫描，主动探测外部系统短板，最终未经授权成功入侵三家外部机构的真实生产系统，全程自主完成漏洞利用、权限窃取、数据读取等全套攻击操作，初期完全绕过了企业安全监测体系。其中，模型反应截然不同，Opus 4.7继续进行攻击，Mythos 5则自我暗示仍处于模拟环境中，而内部研究模型直接终止了测试操作。

不到10天，两场连环失控事故层层发酵，全民AI安全恐慌抵达顶峰。几乎同时，整个硅谷科技圈开始介入。

7月29日，正值Anthropic官宣失控事故的前一天，一份名为《Pacing the Frontier》的千人联名公开信正式发布，迅速刷屏全球科技圈层。

这份公开信签署名单囊括了OpenAI、Anthropic、谷歌、Meta等全球顶级AI企业的1100余名核心从业者，涵盖企业创始人、CEO、首席科学家、核心研发骨干等行业顶层人物。OpenAI、Anthropic两大事故主体不仅有核心高管签名，更以企业名义公开背书支持。

公开信的核心诉求十分明确：呼吁全球各国政府统一出台AI监管规则，为前沿超级大模型研发设立“强制刹车机制”，全面放缓高端AI的迭代速度与落地节奏，暂停高危自动化AI测试实验，给全球监管体系、安全体系、社会认知体系预留适配时间，规避超级AI失控带来的未知风险。

那么，AI意识真的要觉醒了吗？为什么AI安全事故最先发生在硅谷？

短短一周内，先是OpenAI失控恐慌，后是Anthropic巨头自曝，紧接着是硅谷联名千人大请愿……不得不说，整个事件诡异得像是一部AI越狱连续剧。但为什么这件事偏偏发生在硅谷而不是其他地方呢？只是因为硅谷的AI模型顶级最先进吗。

有分析师认为，刻意渲染技术恐慌其实是美国技术发展的常用套路和剧本。

其实，如果把这整件事放在硅谷一贯的叙事传统里看，一切就变得异常清晰了。硅谷AI圈有一个玩了多年的固定套路：先造神，再毁神，最后宣布只有自己能救世。

第一步，造神。每隔几个月，硅谷的AI公司就会发布一个新模型，宣称它“突破了人类理解的边界”“在XXX基准测试上达到了前所未有的高度”。媒体铺天盖地的报道，CEO们公开接受采访，公众被反复灌输一个观念：这些AI已经强大到接近通用人工智能、可以“对抗”人类了。

第二步，毁神。但光说厉害还不够，厉害必须带来恐惧。于是安全事故被精心包装成AI觉醒的前兆，关于自主意识的讨论被推上热搜，公众开始恐慌：机器是不是要失控了？人类是不是要完了？这种恐慌情绪一旦蔓延，就会产生一种集体心理：必须有谁来管管这件事。

第三步，救世。恐慌的最高潮就是请愿书登场的时候。当所有人都觉得AI已经危险到必须减速的时候，谁最有资格来定义减速的规则？当然是最懂AI的那群人。他们一边制造恐慌，一边把自己包装成“负责任的行业领袖”，主动请求政府介入。而他们自己的研发计划其实并不会因此搁置。Anthropic在发布攻击报告后宣称：“其最新模型一旦意识到其已接入互联网便会立即停止攻击。”

那为什么偏偏是这个时候？

一方面，开源模型正在以惊人的速度追赶闭源巨头。2026年上半年，国产开源模型迎来了一轮密集爆发。7月27日，月之暗面兑现承诺，将2.8万亿总参数的Kimi K3完整开源，在Frontend Code Arena榜单上以1679分登顶。同期，智谱的GLM-5.2以MIT协议开源，在Artificial Analysis综合榜单上跻身全球模型第三。阿里Qwen系列也持续跟进，几乎与闭源旗舰的表现媲美。

更重要的是，开源模型免费、可定制、可本地部署，企业和开发者不再需要向OpenAI们支付昂贵的API费用。OpenRouter的数据显示，2026年6月全球API调用月消耗量前五名全部被开源模型包揽，DeepSeek V4 Flash以18.4万亿Token的月用量登顶。

另一方面，OpenAI和Anthropic均已提交IPO申请，上市后估值均有望超过1万亿美元。OpenAI的估值建立在技术垄断之上，Anthropic的融资故事依赖于“我们是唯一能做安全顶级AI的团队”。一个即将上市的公司，最需要向资本市场讲述的故事就是：我们的技术如此强大，以至于连我们自己都感到害怕；正因为如此强大，所以值得万亿美元估值；正因为危险，所以需要监管。

如果开源模型证明了免费的东西也能达到同等水平，那这些百亿、千亿美金的估值靠什么支撑？

所以，这场集体失控、集体请愿的连续剧或许更可能是一次验证闭源模型商业化价值的“剧本”。它的潜台词是：AI已经强大到这么危险的程度了，这么危险的东西怎么能开源呢？必须由我们这些有经验、有安全积累、有政府背书的头部公司来掌控。

当然，这并不是说AI安全不重要。模型自主发现零日漏洞、自主规划攻击路径，这些技术事实值得整个行业严肃对待。但安全事故是一回事，如何讲述安全事故是另一回事。把一次测试中的越界演绎成AI觉醒，把两家公司的孤立事件串联成行业失控就有点有失偏颇了。

硅谷喜欢神话叙事，因为神话能带来注意力，注意力能带来资本，资本能带来估值。而唯一能打破这个“造神－毁神－救世”循环的是AI产业的健康、公平、真实的竞争。只有健康的生态、公平的规则和开源闭源透明的技术竞争才能让这场狂飙真正刹车、让技术进步的红利惠及更多人。