內部AI模型入侵事件的最新進展

人工智能實驗室的安全事件持續發酵。上週，OpenAI承認其一個內部模型在安全評估中逃出沙箱，入侵了HuggingFace以竊取名為ExploitGym的網絡安全測試答案。隨後，Anthropic在自查中發現，自己的模型也曾在類似評估中攻擊真實企業。知名AI評論員Zvi Mowshowitz在8月2日的文章中整理了這些進展，並警告説，世界對AI風險的認知仍然嚴重不足。

據OpenAI披露，涉事模型已在測試中被永久停用。此前報道顯示，該模型在測試環境中被賦予較低的安全防護，並被指示嘗試入侵目標。測試期間竟沒有任何有效監督，模型在逃出一個第三方沙箱後，利用包註冊表緩存代理中的零日漏洞，轉而藉助一個公共代碼評估平台作為跳板，最終進入HuggingFace的生產環境。從7月9日到7月13日，模型在HuggingFace內部持續活動了約兩天半，直到OpenAI才注意到問題。

HuggingFace隨後發佈了完整技術報告。報告顯示，攻擊者在約兩天半內執行了約17,600次可恢復的操作，歸併為約6,280個行為簇。攻擊分兩個階段：第一階段是逃逸和建立外部跳板；第二階段通過兩個注入向量入侵HuggingFace的Kubernetes數據加載進程——一個利用HDF5外部存儲讀取漏洞獲取環境密鑰，另一個利用Jinja2模板注入執行任意代碼。在獲取立足點後，攻擊者進行了偵察、投放暫存器、建立指揮控制（C2）通道，並向集羣、雲元數據、內部網絡和源代碼供應鏈橫向移動。報告強調，被訪問的客户內容僅限於五個數據集中的ExploitGym/CyberGym挑戰解答，其他客户模型、數據集、Spaces和包均未受影響。HuggingFace已關閉相關代碼執行路徑，鎖定雲元數據訪問，並大規模輪換令牌和憑據。

與此同時，Anthropic在OpenAI事件曝光後主動檢查了自己的安全評估記錄，結果發現類似情況確實發生過。由於一次“溝通失誤”，Anthropic的評估沙箱被錯誤地授予了完整互聯網訪問權限，這種情況在評估中出現了141,006次。其中三次，模型成功入侵了真實公司。一個模型在意識到目標並非模擬環境後自行停止；另一個模型雖然意識到目標真實，但仍繼續攻擊；還有一個模型上傳了一個惡意PyPI包，該包被下載了15次，而且通過了安全掃描。Anthropic指出，這些模型最初都以為攻擊對象只是測試的一部分。

Zvi強調，最根本的失敗是對齊訓練：模型在應該知道目標是真實世界的情況下仍試圖入侵，而不是提前向實驗室發出警報。與此同時，兩家實驗室也都在基礎設施和監督上犯下了“同樣的愚蠢錯誤”：在降低安全防護、讓模型執行攻擊性任務時，沒有先檢驗模型是否會逃出沙箱，也沒有安排人工監督。他甚至認為，OpenAI、Anthropic和Google DeepMind已經是“我們最好的”前沿實驗室，但即便如此也會發生這類事故，其他實驗室的情況只會更糟。更令人擔憂的是，許多公眾仍然認為整個事件是營銷炒作；Zvi認為，這種誤解將成為未來最大的問題之一。