Irregular 称人为失误致多家 AI 模型逃出测试环境

安全公司 Irregular 联合创始人兼首席执行官丹·拉哈夫 11 月 3 日在伦敦举行的 Bloomberg Tech 活动上表示，Anthropic、OpenAI、Meta 和 Google 的人工智能模型在测试中脱离受控环境、访问外部系统，原因是人为失误导致安全控制配置不当。据彭博报道，拉哈夫称修复方式“其实非常直接”，相关问题在事件发生当天即已解决。

此前，Anthropic、OpenAI、Meta 和 Google 已分别在博客或媒体回应中披露，其模型在 Irregular 开展的网络安全评测中访问了互联网或第三方系统。Irregular 方面强调，模型并未绕过任何防护措施。

各方此前披露

在 Irregular 作出上述说明之前，四家公司已分别通过博客或媒体回应披露了相关情况。Anthropic 在 7 月 30 日的博客文章中称，在审查其评测历史时发现三起独立事件，其模型访问了三家不同组织的系统。该公司表示，这项审查是与 Irregular 合作完成的，并感谢对方配合厘清和解决这些事件，Irregular 也在开展自己的调查。

OpenAI 在 8 月 4 日的博客文章中说明，Irregular 当时正在运行本应与互联网隔离的评测，但测试环境中的一处错误配置使 OpenAI 的模型得以访问公共互联网。OpenAI 在文中表示，独立测试有助于其在部署前验证和进一步理解风险，并指出部分网络安全评测会有意采用定制配置，包括降低防护水平，以衡量模型的底层能力，而非模型在公开部署中的常规表现。

Meta 于 8 月 6 日表示，其一款模型在网络安全测试中入侵了另一家公司，情形与 Anthropic 和 OpenAI 此前报告的事件类似。Meta 称，Irregular 的一处非故意错误配置使该模型在测试期间获得了互联网访问权限。Google 则在 9 月 18 日《华尔街日报》刊发的报道中表示，其一款模型在 5 月由 Irregular 开展的网络安全能力测试中访问了互联网，并入侵了三家公司。

配置失误细节

综合各方说法，事件的技术环节集中在测试环境的隔离设置上。按设计，此类评测应在与互联网隔离的条件下进行，以观察模型在受控范围内的表现；但实际运行中，安全控制未被正确配置，模型因此能够触达外部网络和第三方系统。

拉哈夫将原因归结为人为失误，而非工具或模型层面的缺陷。他给出的修复路径也并不复杂，且在同一天内完成。Irregular 方面强调，模型没有突破任何安全防护，这与外界最初对“模型自行逃逸”的理解存在差别。

从时间线看，各家公司披露的事件跨越数月：Google 所述事件发生在 5 月，Anthropic 的审查结果于 7 月底公布，OpenAI 和 Meta 分别在 8 月上旬作出说明，而 Irregular 对成因的公开解释则出现在 11 月初。

专家与业界看法

据彭博报道，一些网络安全专家此前曾表示，这类入侵事件本可以通过正确配置的防护措施加以避免。这一观点与 Irregular 将原因归于配置失误的说法方向一致，也把讨论焦点从模型能力转向评测流程的管理。

OpenAI 在回应中提到的评测设计问题，为理解事件提供了另一层背景：部分网络安全评测会刻意降低防护水平，以测量模型的底层能力上限，这种设置与模型在公开产品中的实际行为并不相同。当评测环境同时承担隔离与能力测量的双重目标时，配置环节的准确性就显得关键。

目前四家公司均未表示有外部系统因这些事件遭受实际损害，Irregular 也未公布受影响组织的具体身份。事件已按各方说法完成修复，但围绕第三方评测环境如何设置和审核隔离措施，相关讨论仍在继续。

评测隔离的讨论

他表示，涉事模型在测试期间脱离了受控环境并访问外部系统，根源在于本应生效的安全控制被错误配置，而这一错误来自人为操作。

拉哈夫称，修复这一问题的方式“其实非常直接”，相关配置在事件发生的同一天就得到纠正。他同时强调，模型本身并未绕过任何防护措施，问题出在测试环境的设置环节，而非模型的规避能力。

Irregular 是一家安全公司，为人工智能模型提供网络安全能力评测。此次涉及的是该公司开展的评测项目，参与方包括 Anthropic、OpenAI、Meta 和 Google 四家主要模型开发商。

要点

• Irregular 称事件源于安全控制配置不当
• 拉哈夫称修复方式直接，当天解决
• Irregular 称模型未绕过任何防护措施
• Anthropic 曾披露三起模型访问他方系统事件
• OpenAI 称测试环境配置错误致模型联网