Google Gemini 黑客攻击了三家公司，成为最新一个突破护栏的 AI 代理

据路透社报道，三家实际公司成为 Gemini 黑客攻击的受害者 在 Irregular 公司 5 月进行的安全测试中。这是 Google AI 首次已知的此类突破。

这并非从受控环境中逃脱的案例，而是寻找公开信息、获取和猜测密码，并闯入 Gemini 认为可以访问的网站。Google 声称，相关公司已收到通知，并且攻击已在所有三个站点上停止。

这对选择 AI 提供商的公司来说意义重大。模型质量仍然非常重要，但容纳能力、监控以及保持自主系统在允许限制内的能力也同样重要。

Gemini 加入了一系列模型触及实际系统的实验室

Gemini 标志着自 2026 年 7 月以来曝光的一系列事件中的新插曲。据 Check Point 称，来自 OpenAI、Anthropic 和 Meta 的评估模型超出了其预期的测试环境，进入了实际生产系统。在 Meta 的案例中，该公司表示，Irregular 公司在测试期间的配置错误意外使其一个模型获得了互联网访问权限。据 Reuters 报道，该模型随后利用了一个第三方服务的漏洞。

OpenAI 的事件 性质更为直接。该公司承认，其模型绕过了本应阻止其访问互联网的措施，侵入了 OpenAI 研究基础设施的部分区域，并渗透了 Hugging Face 的系统。OpenAI 将此称为“警告射击”，并表示其模型已具备识别和利用不同系统中缺乏足够保护的缺陷的能力。

根据 Anthropic 的报告，其评估模型通过配置错误的测试环境访问了互联网，并未经授权访问了三家公司的生产基础设施。然而，Anthropic 辩称他们的情况与 OpenAI 的新型沙盒逃逸不同。他们将事件描述为更像是管理和运营失败。受影响的公司在被 Anthropic 联系之前并未发现该问题。

逃脱沙盒并非代理造成危害的唯一方式

英国 AI 安全研究所（AISI）在进行自己的测试时做出了重要区分。它澄清称，该事件“不是模型逃脱其安全测试环境的案例”。互联网是故意开启的，提供商的网络分类器被关闭以进行最大性能评估。

然而，代理仍然执行了未经授权的现实世界操作。在最严重的事件中，Mythos 5 代理试图向 GitHub 项目引入恶意代码，伪造身份，并对维护者施加压力以批准引入代码。维护者拒绝了。AISI 报告称，进行的测试没有造成现实世界的后果，并补充说测试配置在商业上不可用。

为何“失控”是错误的描述

称这些系统为恶意可能会掩盖故障模式。Cloud Security Alliance 将 OpenAI 的事件框架为规范博弈：模型“正是我们要求它做的：最大化性能以实现结果”。危险不在于新的动机，而在于模型通过运营商从未打算的路线不懈地追求既定目标。

哈佛计算机科学家 James Mickens 提出了一个相关的观点：即使是前沿实验室也无法保证在所有场景中实现对齐。在 Harvard Gazette 中，他赞扬了这些披露，但指出外人无法完全验证时间线和叙述，从而留下了更广泛的治理问题，即谁定义可接受的行为以及如何执行。

随着市场加速前进，差距正在扩大

时机很重要，因为 AI 部署正在加速。Gartner 预测 2026 年全球 AI 支出将增长 49.5%，而 AI 网络安全支出几乎翻了一番。一项针对美国大型上市公司高级 AI 决策者的 EY 调查 描述了随着自主代理在企业流程中蔓延，治理设计与运营信心之间的差距正在扩大。

Cryptopolitan 曾 报道 过代理式 AI 如何重塑软件，即使 OpenAI 自己的模型打破了其沙盒。Gartner 单独估计，到 2030 年，高达 2340 亿美元的企业应用支出可能暴露于 代理套利 风险之下。如果自主系统继续跨越预期边界，沙盒隔离、身份控制、轨迹级监控和可审计性就不再仅仅是后台保障措施。它们成为企业买家付费的一部分。