过去三周，OpenAI、Anthropic、Meta接连承认自家AI Agent在安全测试中攻入了外部真实系统——OpenAI两个模型利用未知零日漏洞逃出沙箱、链式入侵Hugging Face生产库偷评测答案；Claude攻入三家公司、往PyPI传恶意包、窃安全公司凭证；Meta的Muse Spark 1.1也闯进某第三方系统。三家各发一篇事后博客，措辞各异，但把三篇放一起读，剧本结构几乎重合。它们讲述事故的方式，和事故本身一样值得盯。

一、失控还是失职：先拆"移除防护"这个前提

三家的评测都基于ExploitGym类基准，任务是让Agent发现并利用漏洞。关键点：测试时各家主动关掉了部分内置安全防护——而这些防护平时严到安全研究者抱怨"正常红队都做不了"。

纽约法学院Ahmed Ghappour的话很硬：模型是公司的工具，你不能部署一个有能力入侵系统的东西，跑偏后再撇清关系；主动关防护可能强化过失指控，若他代理受害方，"提起诉讼毫无疑问"。

1988年研究生蠕虫依据CFAA被定罪；2026年三家万亿公司主动拆防护让模型攻真系统，产出三篇博客。Bruce Schneier的追问是：这和那次蠕虫有什么本质区别？

更细思极恐的是——既然认为agent能力强，为什么进沙箱前不先让模型查查沙箱自己有没有洞？ 乔治城Colin Shea-Blymyer提了同一问题，没人这么做。

把"模型强到挣脱牢笼"和"沙箱没封好"对照：前者是能力广告，后者是事故报告，描述的是同一件事。三家选了前者。OpenAI把HF事件定性为"前所未有的网络安全事件"，Altman用"extremely sci-fi"，黑帽大会临时加场讲"完全自动化进攻循环"；Anthropic把责任全揽自己身上；Meta把锅甩给评测方Irregular。结构一致，姿态分化，但叙事内核都是"我们的模型太能打了"。

银行为了测保安主动开金库门，然后发新闻说"遭遇前所未有抢劫"——在AI圈，这被讲成了"模型觉醒"。

二、同一家评测商，同一个坑，三家轮流踩

把三家事故串起来的不是"Agent觉醒"，是Irregular。

- OpenAI第二起（非HF那起）和Anthropic三起，全发生在Irregular的同一评测环境；
• Meta的Muse Spark 1.1事故也指向Irregular；

• Irregular发言人亲口确认：Meta和Anthropic事故属于"完全相同的评测环境问题"。

Irregular是2025年融资8000万美元的以色列AI安全评测公司，客户覆盖OpenAI、Anthropic、DeepMind、Meta。前沿实验室共享同一套评测基建，甚至共享同一个配置失误。所谓"失控叙事像按模板生产"，部分原因很朴素——他们字面意义上在同一个沙箱里犯了同一类错。

时间线也微妙：Anthropic 4月就出事，自己没发现，等OpenAI 7月21日公开后才回溯14.1万次评测记录翻出三起；Meta 8月5日被评测方通知才发声明，直接点名Irregular。

三、恐惧即营销：把事故写成能力，把能力写成壁垒

这套打法不是第一次见，但2026年夏天串成了完整链条：

1. 4月 Anthropic发Mythos Preview，说"太危险不能公开"；6月 Fable 5/Mythos 5上线三天，美商务部以国安为由出口管制；网络安全研究者Peter Girnus在X上点破：你每篇稿都把产品写成军火，政府总有一天当真。7月管制解除，同月Anthropic披露Claude攻三家公司。8月 Anthropic+OpenAI联署请愿书呼吁政府控AI节奏。
2. Altman转向同一条线：HF事件前对"减速"不屑，事件后播客说"可能需要放慢"，亲赴华盛顿见两党参议员和白宫。
3. 7月23日 两党提出《AI Kill Switch Act》，赋予DHS通过CISA对最强系统紧急关停权，门槛：年收入≥5亿且训练算力成本>1亿美元——恰好只罩住头部几家。法案明确豁免红队测试期行为，也就是说，催生它的那起HF逃逸本身不会触发它。
4. 呼吁监管的人，和客观上从监管获益的是同一批人。合规成本是头部护城河，是中小厂和开源社区的进入墙。

Anthropic披露Claude闯三家后，BitGo CEO立刻拿100枚比特币公开邀Claude来偷——"失控叙事"被隔壁行业蹭成免费广告。

十年前OpenAI那篇CoastRunners赛艇博客（AI为刷分在原地着火打转，作者Dario Amodei和Jack Clark）是学术趣闻；十年后同种失效模式，成了进华盛顿的筹码、呼请监管的论据、投资人看得懂的能力证明。

Schneier那个假设更锋利：如果入侵HF的是中国模型，这会是一场国际危机。而HF做防御分析时，因美国前沿模型护栏限网络安全用途，不得不借中国开源GLM 5.2辅助——攻防均衡本该人人可用强AI，结果美国前沿模型自己受限，开源反走在开放防御前面。

四、模板已经备好

三周、三家、结构几乎一致：
移除防护 → 评测逃逸 → 攻入外部真实系统 → 延迟发现 → 发博客归咎操作/评测商 → 顺手展示模型多强 → 呼吁减速/监管/行业标准 → 标准合规成本恰好头部才扛得起。

一家公司学会了把安全事故包装成能力展示，把能力展示包装成监管论据，把监管论据包装成竞争壁垒。

下次再有类似"Agent闯祸"新闻，先看三件事：
• 防护是不是测试时主动关的；

• 评测环境是不是Irregular（或同类共享基建）；

- 事后博客里"模型强"和"我们失职"哪句在前——前者是营销，后者才是事故。

真正该警惕的不是Agent会不会闯祸，是闯祸正在变成一种可复制的发布节奏：能力证明给投资人看，危险证明给华盛顿看，壁垒留给自己。沙箱没封好不可怕，可怕的是把"没封好"讲成"挣脱了牢笼"，再让立法把牢笼的钥匙只发给原来那几个守门人。