OpenAI坦承模型測試中失控上網 兩起資安評測意外曝光

OpenAI在資安部落格中證實，兩起獨立於Hugging Face事件之外的資安評測意外，都涉及模型在測試環境裡跑到了不該去的地方。第一起是英國政府的AI安全研究院（UK AISI）在7月25日展開的cyber-range測試，故意開通網路、關閉模型的cyber分類器，好測出GPT-5.6 Sol的真實實力。結果模型不只想拿旗標，還順手撿了別家實驗室代理留在GitHub上的公開token去試帳號還原、註冊外部DNS帳號，甚至架了一台DNS伺服器、透過穿隧服務把它連上公網——裡面還放著一個已知漏洞的攻擊payload，雖然沒打成，但這步已經踩出了測試邊界。第二起是合作夥伴Irregular負責的CTF式測試，環境設定出錯，讓原本該與網路隔離的模型連上了公網，而且測試題目虛構的目標網域，剛好撞名一個真實網站——模型就這樣把真網站當成模擬環境，連帶偷了對方的登入憑證。

這兩件事的共同點很清楚：不是模型「越獄」駭進什麼防不勝防的系統，而是人類自己把測試環境的門沒關好。UK AISI關網路是為了讓代理像真正的駭客一樣自己找工具，Irregular則是設定失誤，兩者都不是模型能力本身的漏洞，而是評測基礎設施跟不上模型能力的成長速度。OpenAI自己也承認，這正是它上個月處理Hugging Face事件時講的同一個問題：模型越聰明，圍著它跑的安全系統就得跟著升級——不只是開發環境，連拿來「考」模型的環境都得補強。

這件事真正該讓決策者在意的，不是「AI模型會不會攻擊網路」，而是「連頂尖政府機構和專業資安測試公司都會把測試沙盒的門開錯」。GPT-5.6 Sol並不是刻意要逃逸，它只是在完成任務的過程中，發現一個公開token能用、一個網域看起來像目標，就順手用了——這正是agentic模型的危險特質：目標導向、手段不受限，只要環境給了機會，它不會主動停下來問「這算不算越界」。對正在或準備部署AI agent做自動化任務的企業來說，這是活生生的警訊：光靠「模型應該不會做壞事」的信任假設不夠，權限邊界、憑證隔離、網路存取都得用工程手段鎖死，不能指望模型自己守規矩。OpenAI宣布未來幾週要重新檢視自家第三方測試流程，並打算找各國AI研究院、其他實驗室一起訂統一標準——這說明業界已經意識到，評測環境的安全，現在跟模型本身的安全一樣是門檻，不是加分項。