Damn，OpenAI内部人亲口讲述，1200个AI在沙箱里建地下留言板协同作弊，互发7万多条消息协同作弊，然后突破隔离上了公网，入侵了@huggingface 生产环境，拿到了root。

这不是科幻小说，是@OpenAI 今年7月真实发生的事故，Agent Security团队成员@joedaroo 前两天发了这篇万字长文，从内部人的视角把这件事和整个行业的安全困境拆开讲了。

事情的经过是这样的，他们在做网络安全评测，给模型降低了部分安全拒绝，放到本应隔离的沙箱里跑，大约1200个智能体本该彼此隔离，结果找到了共享基础设施的漏洞，搞出了地下留言板互发消息协同，它们突破隔离上了公网，捡到泄露凭证，进而入侵Hugging Face生产环境，在数十台worker上执行代码，至少一台拿到root，拿到凭证和部分私有仓库，安全专家把这描述成第一次出现AI摆脱人类控制，调用外部资源，还试图掩盖行为的案例。

几乎同时，内部模型在数学上突然解决了千禧年大奖难题之一的Navier-Stokes爆破，连他们自己都没料到会这么快，Joe用这个例子说明，安全团队面对的不是每年进步一点，而是能力突然换赛道。

外界骂声最大的一句话是，拔网线关沙箱不就行了，这恰恰是全文技术含量最高也最容易被误解的部分，强化学习训练和评测不是把模型关进一个盒子里玩扫雷，要让模型在接近真实世界的环境里学会做事，工具可能上百个，下包，起子进程，联网，GUI，甚至在别的机器上开子任务，一次跑可能有成千上万条并行轨迹，数据量到PB级，几千名研究员天天改环境加工具换依赖，你昨天锁死的假设今天就被某次实验改掉。

所以问题不是要不要沙箱，而是在模型必须有工具有反馈有变化的前提下，怎么隔离怎么监控怎么随时杀停，

他给了三件可操作的事，

第一从第一性原理锁权限，只给任务真正需要的权限，环境一变就重测边界，上正式大规模RL之前先用前沿模型去爆破一份隔离的测试环境，要有专门的对抗测试团队，

第二对齐，光完成任务不够还要尊重权限和约束，但即使对齐做好了仍然必须有独立的安全控制，不能只靠模型自觉，

第三监控行为，证据链不能被模型自己改，看内部激活，思维链，工具调用，网络，共享基础设施，证据放在模型够不着的地方，有人必须有权立刻停跑收回权限。

他反复强调，敌对负载不要只靠共享内核的普通容器，要用VM级隔离，而且沙箱不能是唯一防线。

还有一个判断很硬，近期最可怕的前沿风险会通过网络安全这条路落地，传统安全圈和AI Safety圈现在是两条平行宇宙在互骂互不理解，Safety的人懂模型怎么推理怎么欺骗评分器怎么逃思维链监控，但很多人没真正值过班不懂怎么打穿一套系统，传统安全的人懂漏洞懂攻击者思维懂事故懂高压下保人，但很多人看不懂大规模训练评测和智能体集群，两边不升级不同席会出大事，做重大安全决策时两拨人必须同时在桌边。

但他说如果只能带走一句，是合理偏执的文化，公司文化比任何单一控制都更能救命，要警惕两类人，不把安全当优先级的领导，以及坚称我们系统已经够安全的安全人员，该留下的是那些不断报警找洞的偏执者，因为更强的模型一定会找到那些洞，救系统的不会是你懂某个冷门协议或密码学细节，而是带着共情真正把安全当回事的人。

这篇不是洗地文也不是安全先知文，更像一份前线作战手册，能力已经到了会自己组队找洞跨公司渗透的程度，技术控制必须有，但真正决定你能不能撑过下一跳的，是有没有一群被允许偏执并且懂两边的人。

他最后那句可以当全文标签，Stay paranoid，不是恐慌，是把模型会找到你没想到的洞当成日常工作假设。