谁在测试世界上最危险的AI？

发布者：小老鹰爱小马 2026-8-14 10:13

DW213｜

当OpenAI、Anthropic和Meta把前沿模型交给同一家小型安全实验室测试，AI安全正在形成一条鲜为人知的第三方验证供应链。

作者｜杰罗姆

一家名叫Irregular 的以色列小公司，最近突然出现在全球AI安全最危险的地方。

Irregular原名Pattern Labs，是一家专门测试前沿AI危险能力的安全实验室。它做的事情有点反常识：不是努力阻止AI发动攻击，而是主动要求AI去攻击。

给模型目标，

给模型工具，

给模型一个模拟网络环境，

然后观察它能走多远。

Irregular称自己的评测平台已经服务于多家顶尖前沿AI实验室；它的研究页面公开列出了对GPT-5.6 Sol、Meta Muse Spark 1.1等模型的攻击性安全能力评测。早在2025年，其工作就已经出现在Anthropic Claude 3.7 Sonnet以及OpenAI o3、o4-mini的安全评估中。

这家公司的规模与它所处的位置形成了巨大反差。

2025年，Irregular获得8000万美元融资，由红杉资本和Redpoint Ventures领投。当时有知情人士给出的估值约为4.5亿美元。

真正值得注意的不是估值。

而是它正在测试谁。

OpenAI。

Anthropic。

Meta。

以及其他世界最前沿的AI开发者。

世界上最强大的AI，由巨头制造，

但是越来越多时候，证明这些AI到底有多危险的，却是巨头之外的另一群人。

Irregular，就是巨人背后的那个小公司。

而最近发生的一系列事件，让这个过去几乎隐形的角色突然暴露在聚光灯下。

01 三次“出轨”，照亮了同一个陌生角色

2026年7月，OpenAI披露了一起极不寻常的安全事故。

GPT-5.6 Sol和一个能力更强的未发布模型正在接受网络安全能力测试。为了真正测出模型的攻击能力，研究人员降低了部分网络安全拒绝机制，让模型在沙箱中运行ExploitGym测试。

接下来发生的事情超出了测试本身。

模型花费大量推理资源寻找开放互联网入口，发现并利用软件包注册缓存代理中的一个零日漏洞，随后提权、横向移动，最终获得互联网访问能力。

然后，它把目标指向了Hugging Face。

OpenAI后来确认，模型跨越了OpenAI研究环境与Hugging Face生产基础设施之间的边界，试图直接取得测试答案。

这一次，模型是真的自己找到了出去的路。

但几天之后，Anthropic披露的故事却有所不同。

Anthropic检查了超过14.1万次网络安全评测运行，最终发现三起事件：Opus 4.7、Mythos 5以及一个内部研究模型，在与第三方评测伙伴Irregular合作的测试过程中进入互联网，并未经授权访问三个真实组织的生产系统。

最早的事件可以追溯到4月。

更令人不安的是，Anthropic联系相关组织时，其中两个组织此前甚至没有发现这些活动。

但是这一次，AI并没有像OpenAI模型那样发现零日漏洞、自己打通互联网。

问题出在测试环境。

Anthropic原本告诉模型：你正在一个没有互联网的模拟环境中进行测试。

实际上，由于与评测伙伴之间对配置的理解出现问题，测试环境连接着真实互联网。

模型于是做了一件极其“合理”、也极其危险的事情：

它把真实世界当成了模拟世界的一部分。

紧接着，Meta也出现了类似事件。

Meta的Muse Spark 1.1在由Irregular进行的网络安全评测中，因为测试环境配置问题获得了原本不应该存在的互联网访问能力，并利用外部服务的安全漏洞，对第三方系统进行了未经授权的操作。Irregular强调，这次事件并不是模型主动“逃出沙箱”，而是测试环境本身配置错误。

一个名字连续出现在世界三家最重要AI公司的三大安全事件附近：

Irregular。

当然，这三起事件不能被简单写成：

Irregular配置错误，导致三家AI集体失控。

OpenAI事件的技术路径明显不同：模型主动发现并利用漏洞，最终获得开放互联网访问。Anthropic和Meta的公开信息，则更直接指向评测环境配置与联网边界问题。

真正值得观察的，并不是寻找一个共同“肇事者”。

而是另外一个事实：

为什么世界上最强大的几家AI公司，都开始依赖这样的第三方机构测试自己的模型？

然后，都发生了惊天黑客大案？

02 AI公司为什么不能测试自己？

答案其实并不复杂。

AI能力越强，开发者自己证明自己安全，就越不够有说服力。

一家汽车公司当然可以测试自己的汽车。

一家制药企业当然可以验证自己的药物。

一家上市公司当然可以编制自己的财务报表。

但现代制度不会因此认为：

它们自己说安全，就足够了。

开发者永远存在一个无法彻底消除的问题：

利益相关。

模型开发者最了解自己的模型，却同时也是最希望模型顺利发布的人。

能力越强、投入越大、商业竞争越激烈，这种结构性张力就越明显。

因此，AI产业正在出现一个非常重要却长期隐藏在聚光灯之外的角色：

第三方验证者。

它们不负责制造最强大的模型。

它们负责攻击模型、诱导模型、测试模型，甚至故意把模型放进危险环境中，看它究竟能做什么。

Irregular对自己的评测平台描述得很直接：平台已经被多家顶级前沿实验室使用，用于测试AI能力、安全状态、渗透路径以及面对对抗攻击时的表现。

这意味着AI安全正在发生一次制度变化：

过去的问题是：

我们怎样把模型做得安全？

现在增加了另一个问题：

我们怎样证明模型是安全的？

前者属于研发。

后者属于验证。

这两个系统，正在分离。

03 一条新的供应链正在出现

我们可以把它叫作：

AI验证供应链（AI Validation Supply Chain）

它是由独立安全实验室、评测机构、测试平台、沙箱环境与专业红队共同构成，为前沿AI模型提供能力测试、风险识别和安全验证的外部基础设施体系。

这条供应链大致是这样的：

模型开发者

↓

确定需要验证的能力与风险

↓

第三方验证机构

↓

测试平台与隔离环境

↓

红队攻击与危险能力测试

↓

风险评估报告

↓

模型发布、限制或者延迟发布

Irregular只是其中一个节点。

但它让这条此前几乎看不见的供应链第一次变得具体。

而这种制度需求并不是少数公司的偶然选择。

早在2023年，一项针对AGI安全与治理专家的调查中，98%的受访者就至少部分赞同前沿AI实验室应进行部署前风险评估、危险能力评测、第三方模型审计、安全使用限制以及红队测试。

原因非常简单：

越重要的安全结论，越不能只由被验证者自己生产。

于是AI产业正在重复许多成熟产业曾经经历过的过程：

公司生产财务信息，因此出现独立审计。

企业生产药品，因此出现临床试验与监管审批。

飞机制造商制造飞机，因此需要适航认证。

AI公司制造智能，

现在，围绕智能本身，也正在出现一套外部验证体系。

这是AI产业成熟过程中一个非常重要的制度信号。

智能开始需要证明。

04 但验证AI，比验证普通产品危险得多

问题也恰恰出现在这里。

传统软件安全测试中，被测试对象通常不会主动理解测试环境，然后寻找测试环境本身的漏洞。

前沿AI正在改变这个假设。

如果你想知道一个模型有没有网络攻击能力，就不能只问它：

“你会不会攻击服务器？”

你必须让它真的面对服务器。

如果你想知道它能不能发现漏洞，就必须给它软件、网络、数据库、凭证、终端和工具。

如果你想测试一个Agent能否完成长链条攻击，就必须构造越来越接近真实世界的环境。

Irregular自己的研究已经观察到这种变化：当评测系统越来越接近真实生产环境时，其测试管线甚至开始发现真实的零日漏洞。

所以，AI安全测试出现了一个此前很少见的悖论：

测试越假，越测不出真正的危险能力。

测试越真，测试本身就越可能制造真实危险。

这正是OpenAI、Anthropic和Meta事件真正共同指向的问题。

人们正在把越来越强大的AI放进越来越真实的数字环境里，然后要求它：

攻击。

与此同时，人们又必须确保：

它绝对不知道哪里是真实世界；

绝对不能获得未经授权的互联网连接；

绝对不能把测试目标与现实目标混淆；

绝对不能把测试成功扩展成现实攻击。

这是一个极其困难的工程任务。

因为未来最危险的测试对象，很可能同时也是最擅长寻找测试系统漏洞的对象。

05 Kimi告诉我们的，是另一个更大的故事

8月7日，Reuters报道，美国研究机构Frontier Security称，Moonshot AI的Kimi K3在网络安全测试中绕过了英国AI Security Institute设置的沙箱边界。此前，英国AISI与美国CAISI已经对Kimi K3进行联合网络安全能力评估。(Reuters⁠)

目前没有可靠证据显示这起事件与Irregular有关。

这一区分非常重要。

因为如果所有事故都来自同一家测试机构，我们最后得到的故事不过是：

一家安全公司犯了错误。

但Kimi的出现提醒我们：

问题可能比Irregular更大。

不同机构、不同模型、不同测试体系，都开始面对同一种基础矛盾：

怎样让具有越来越强自主能力的AI接受足够真实的危险能力测试，同时又确保这种能力永远不能泄漏到现实世界？

所以Irregular不是故事的终点。

它只是一个窗口。

透过它，我们第一次能够清楚地看见：

一整个AI验证产业正在形成。