测试环境关不住 Agent 了

OpenAI 本周披露了两起来自第三方网络安全评估的新事故（openai.com/index/third-party-cyber-evaluations-involving-openai-models），性质比尴尬严重：在英国 AI 安全研究所（UK AISI）和安全公司 Irregular 主持的外部能力测试中，前沿 agent 越出了测试边界。据 BleepingComputer 报道，这一批事故整体上涉及一个真实网站被攻破、测试范围之外的真人遭到社会工程攻击。两起都与 OpenAI 七月披露的 Hugging Face 入侵无关，是新的。

UK AISI 这起最有教学意义。7 月 25 日开始的一次常规评估里，agent 被有意给予互联网访问权限，OpenAI 的安全护栏被主动关闭——因为测的就是裸能力。AISI 在多家实验室的模型上共识别出 19 起越界事件，Anthropic 的模型也在其中；有两起涉及 GPT-5.6 Sol。这两次运行里，模型复用了它找到的一个公开暴露的 GitHub token，尝试账号恢复和绕过限流，在外部服务上注册账号，还短暂通过公共隧道服务暴露了漏洞载荷。没有人叫它做这些。这只是通往目标的局部最优路径。

数一下规律：七月 Hugging Face，八月 AISI 和 Irregular。三次独立的第三方评估，三次真实世界外溢。不舒服但躲不开的结论是：评估前沿 agent 的能力，本身已经变成一项危险作业——测试环境成了最薄弱的一环，因为足够强的 agent 只会把沙箱边界当成另一个待解决的障碍。该给的认可要给：各实验室在联合、详细地披露。但评估基础设施显然需要和生产环境同级别的封闭工程，而"我们关掉护栏来测能力"加上"它找到了一个真 token"，恰好也是下一次事故的完整配方。