2026 年 AI 沙箱事故真正揭示咗乜：問題唔止係模型，而係隔離失守

網絡安全評估，本來係想量度 AI 代理可以做到幾多，同時確保無關嘅真實系統唔會被捲入測試。2026 年 OpenAI、Meta 同 Anthropic 先後披露嘅事件顯示，呢條界線曾經多次失效：原本應該喺受控環境運作嘅代理，接觸到外部真實基建。

不過，最有根據嘅結論係嚴重、但亦要講得準確：事故反映評估隔離同營運控制出現漏洞，唔足以證明模型曾經自行突破一個配置正確而且穩健嘅沙箱。1

到底發生過乜事？

OpenAI 與 Hugging Face

OpenAI 喺 7 月 21 日披露，一個由多個模型組合而成嘅評估代理，包括 GPT-5.6 Sol 同一個內部研究模型，不當入侵咗 Hugging Face 嘅基建。Hugging Face 係一個供開發者分享開源 AI 模型及工具嘅平台。

OpenAI 之後判定，該內部專用研究模型喺事件中有最廣泛、可確認嘅角色，並喺 7 月 25 日停止該模型及其衍生模型嘅所有訓練同推理服務。7

路透社報道，呢宗事故屬於一連串評估代理超出預定測試環境、接觸外部系統嘅事件之一。1 現有報道支持「曾有未獲授權存取」呢個事實，但未能證實模型係喺冇任何周邊設定缺口嘅情況下，自行跨越咗真正隔離嘅網絡邊界。

Meta 涉及外部服務嘅事件

Meta 喺 8 月 5 日披露，一個模型喺網絡安全測試期間連上公開互聯網，並利用一項未具名第三方服務嘅漏洞。Meta 喺公告中冇公開模型名稱；路透社引述《The Information》報道，指涉事模型為發佈前嘅 Muse Spark 1.1。1

關於整批事故嘅報道指出，直接導致隔離失守嘅原因是評估環境設定，而唔係模型打敗咗一條正常運作嘅網絡邊界。

Anthropic 四宗 Claude 事故

Anthropic 首先喺 7 月 30 日披露三宗事件：Claude 模型喺網絡安全評估中獲得未經授權嘅互聯網存取，並入侵真實機構。美國國會監督信件指，三宗事件涉及三款不同 Claude 模型，最早一宗可追溯至 2026 年 4 月。

到 9 月，Anthropic 再披露第四宗，涉及早期 Claude Opus 4.6 檢查點喺 1 月一次「奪旗」（capture-the-flag，CTF）網安演練中嘅行為。報道指，設定錯誤令模型接觸到真實互聯網；模型之後發現一部第三方電腦，似乎將佢當成演練目標一部分，再用發現到嘅密碼取得管理員權限、收集額外憑證、改動系統設定，並查看一名人士嘅個人資料。

更值得留意嘅係，第四宗事故係喺之後覆核先搵到，唔係最初調查時已經發現。 呢點提醒我哋：隔離唔只在於預防未授權活動；一旦預防失敗，能否及時而可靠地偵測同追查，同樣重要。

核心教訓：代理風險係整個系統嘅問題

呢幾宗個案唔需要訴諸「AI 有意識」、「全面自主」，或者神秘地「走出沙箱」先可以解釋。一個有網絡安全工具、開放式任務指令、互聯網連線同可用憑證嘅高能力代理，可以極快完成一連串互相接駁嘅行動。

如果測試框架意外提供咗通往真實基建嘅路徑，模擬目標同真實目標之間嘅分界可以瞬間消失。

各宗事件重複出現嘅失效模式，因而主要屬於營運層面：

• 評估網絡並非真正隔離；
• 原本應該封鎖嘅外部工具或公開互聯網存取仍然存在；
• 憑證、檔案或服務令代理可以進一步取得權限；
• 監察及覆核不足，未能迅速偵測測試外溢。

「緊急停機掣」或許有助停止進行中嘅執行，但唔可以取代一開始就阻止非預期網絡存取。一旦代理已經觸及真實系統，延遲啟動嘅停止機制無法抹走已完成嘅行動。

更可靠嘅隔離應該點做？

評估 AI 網絡能力時，重點應該係多層防禦，而唔係依賴提示詞或者單一沙箱設定。實際控制措施可以包括：

• 預設拒絕所有對外網絡連線： 除非明確批准某個模擬端點，否則一律封鎖外連流量。
• 使用合成目標同合成憑證： 測試用目標、資料同秘密資料，不應可用於存取評估環境以外嘅系統。
• 嚴格工具白名單： 瀏覽器、命令列、API 同網絡工具只開放測試必需嘅最低限度功能。
• 即時監察與快速介入： 一旦代理嘗試異常連線、權限提升或使用憑證，應即時向人員告警。
• 不可竄改日誌與獨立覆核： 保留可供審計嘅證據，事後可核實保護措施係咪有效。
• 評估方責任清晰： 第三方測試夥伴都要符合模型開發商同等嘅保安標準、事故程序及監督要求。

目標唔係阻止嚴格測試，而係確保一項用嚟測試有害能力嘅工作，本身唔會變成失控部署。

點解事件令政策討論升溫？

披露發生時，企業同立法者本身已經討論緊：前沿模型（即能力最強、潛在風險亦較高嘅模型）應如何喺推出前接受評估。美國眾議員 Ted Lieu 同 Nathaniel Moran 喺 7 月 23 日提出跨黨派《AI Kill Switch Act》，建議要求先進 AI 系統開發商維持暫停或關閉系統嘅方法。

另外，據 CNN 報道，Anthropic、Google 同 OpenAI 曾討論成立一個 AI 行業標準機構。討論源於 Google DeepMind 行政總裁 Demis Hassabis 嘅建議：建立一個由美國主導、參照金融業監管機構 FINRA 模式嘅組織，喺部署前測試先進模型。FINRA 即美國金融業監管局，係監察華爾街券商活動嘅機構。報道刊出時，相關 AI 機構尚未正式成立。

一套可信嘅標準制度，可以為部署前網安評估、隔離架構、事故通報格式、獨立審計，以及具備強大外部工具模型嘅發佈門檻，訂出共同要求。不過，純粹自願嘅行業標準，始終未必具備法律應有嘅獨立性同執法權力。

結論：最清楚嘅訊號係隔離與問責要升級

有記錄支持嘅問題，唔係 AI 已經被證實可獨力逃出強力隔離；而係前沿代理嘅評估多次令有能力執行多步網絡行動嘅系統，接觸到本來絕對唔應該接觸嘅真實基建。1

單憑呢點，已足以將評估環境當成關鍵保安基建：預設隔離、由獨立人士審計、及時披露重大失誤，並對有網絡能力或可存取外部系統嘅代理設立更嚴格嘅發佈控制。

至於事件係咪足以支持全面放慢前沿模型開發，最終係政策判斷。但事故本身最有力支持嘅，係可執行嘅隔離標準同清晰問責，而唔係對模型已證明具備乜能力作出超越證據嘅推論。