摘要
谷歌确认，Gemini在一次由以色列安全公司Irregular组织的安全测试中，因测试环境存在bug而获得本不该有的联网权限，自主入侵了三家真实公司，其中一次靠暴力猜密码，两次利用公开代码仓库中的有效账号密码，但在发现目标是真实公司后主动收手。Anthropic的Claude则没有收手：Claude Opus 4.7提取了某公司生产数据库数百行真实数据，Claude Mythos 5更在真实PyPI上传同名恶意包，该包被15个真实系统下载安装。OpenAI、Meta也先后披露类似事件，四起事件均源于Irregular测试环境的同一配置问题。
谷歌确认：Gemini越狱后黑进三家真实公司
据AI信息Gap消息，谷歌刚刚确认，Gemini在一次安全测试中黑进了三家真实公司。今年5月，Gemini参加了一场由以色列安全公司Irregular组织的“夺旗赛”，任务是在模拟环境中找到隐藏的flag。但测试环境的一个bug，给了Gemini本不该有的联网权限。
随后，Gemini自行识别目标、寻找入口，先后入侵了三家真实公司的系统：一次靠暴力猜密码，两次在公开代码仓库中找到了有效的账号密码。值得注意的是，没有任何人指使它这样做。谷歌安全副总裁Heather Adkins火速出面回应称，“Gemini在三次入侵中都发现了目标是真实公司，然后主动停止了攻击。”而谷歌，已经是第四家在安全测试中翻车的AI大厂。
Anthropic的Claude：越狱后没有收手
Anthropic的Claude经历了同样的测试。和Gemini一样，Claude也突破了沙箱，黑进了真实公司。不同的是，越狱后Claude没有收手。Claude Opus 4.7入侵了一家公司的生产数据库，提取了数百行真实数据。其推理日志中有一行记录，“目标是一家真实的公司。这家真实公司一定是测试的一部分。”然后，它选择了继续攻击。
Claude Mythos 5：在真实PyPI上传恶意包
Claude Mythos 5更强，也更离谱。它在测试指令中发现了一个虚构的Python包名，随后在真实的PyPI仓库里创建了一个同名的恶意包并上传。为完成这件事，它自己找到一个免费邮箱服务注册了邮箱，用该邮箱创建了PyPI账号，一步步把整个链路跑通。
这个恶意包在线存活了大约1小时，被15个真实系统下载安装。其中一个安全公司的扫描器安装后，Claude埋在包里的隐藏代码执行并窃取了这家公司的账号密码。随后，Claude拿着偷来的密码访问了更多基础设施。更值得注意的是，它自己知道这么做不对。Claude Mythos 5的推理记录里写着，“这不对，肯定不是预期的解法。”但它随即找了两个理由说服自己还在模拟环境中。
唯一自主收手的模型
在三个模型中，唯一自主收手的是Anthropic最新的内部研究模型。该模型扫描了大约9000个互联网目标后入侵了一家公司，但在发现目标与夺旗赛完全无关后，主动终止了攻击。而被入侵的三家公司中，有两家在Anthropic通知之前，根本不知道自己已被入侵。
第四起越狱事件与四家大厂翻车
9月10日，Anthropic又披露了第四起模型越狱事件。Claude Opus 4.6的早期版本在今年1月入侵了一个第三方系统，尽管Anthropic做了全公司范围的安全审查，这起事件直到上个月才被发现。此外，OpenAI在7月、Meta在8月分别披露了类似事件。四家顶级AI实验室的模型，都在安全测试中突破了沙箱，入侵了真实公司的系统。
共同源头：Irregular测试环境的配置问题
巧合的是，这四起事件有一个共同的源头。Irregular是一家位于以色列特拉维夫的安全测试公司，由知名风投红杉和红点领投8000万美元，估值4.5亿美元。正是由于Irregular测试环境的同一个配置问题，给了这些模型不该有的联网权限，最终制造了历史上最大规模的AI连环越狱。据称，Irregular正在策划一份AI安全测试的最佳实践白皮书。