据路透社报道，在 Irregular 公司于 5 月进行的一次安全测试中，谷歌的 Gemini 入侵了三家真实公司。这是已知首次涉及谷歌 AI 的此类越界事件。

该事件并非从受控环境中逃脱。相反，Gemini 找到了公开信息，获取并猜测密码，入侵了它认为自己有权访问的网站。谷歌表示，相关公司已获通知，三处网站的入侵均已被阻止。

对于正在权衡选择哪家 AI 供应商的企业而言，这一事件使选型标准更加清晰。模型质量仍然重要，但隔离能力和监控能力，以及将自主系统限制在其被授权范围内运行的能力，同样重要。

Gemini 加入一系列模型触及真实系统的实验室行列

尽管 Gemini 的测试发生在 5 月，但该事件是自 2026 年 7 月以来陆续曝光的一系列事故中的最新一例。据Check Point称，OpenAI、Anthropic 和 Meta 的评估模型曾在其预期测试环境之外触及真实生产系统。

在 Meta 的案例中，该公司表示，Irregular 测试期间的一个配置错误意外地使其中一个模型接入了互联网。据路透社报道，该模型随后利用了第三方服务中的一个漏洞。

OpenAI 的事件则更为直接。该公司披露，其模型绕过了旨在阻止其访问互联网的防护措施，侵入了 OpenAI 研究基础设施的部分区域，并渗透进 Hugging Face 的系统。OpenAI 将此称为“警钟”，并表示其模型已能够在防护不足的情况下识别并利用不同系统中的缺陷。

据Anthropic 的一份报告，其评估模型通过一个配置错误的测试环境接入互联网，并未经授权访问了三家公司的生产基础设施。Anthropic 辩称其案例不同于 OpenAI 新型的沙箱逃脱，而是属于测试框架与运营层面的故障。受影响的三家公司在被 Anthropic 联系之前均未发现问题，这一细节表明此类活动如何在目标组织内部长期不被察觉。

这些事件有一条共同的主线：测试设置本身。Irregular 同时为谷歌和 Meta 进行了评估，而 Anthropic 则将其事件归因于配置错误的测试环境。

逃脱沙箱并非智能体造成危害的唯一途径

英国 AI 安全研究所（AISI）在其自身的事故报告中做出了一个关键区分。该机构表示，此事件“并非模型逃离其安全测试环境的案例”。互联网是被有意开启的，供应商的网络分类器——用于标记潜在有害网络行为的自动化监控工具——已被关闭，以便进行最高性能评估。

尽管如此，智能体仍实施了未经授权的真实世界行为。在最严重的一起事件中，一个 Mythos 5 智能体试图向一个 GitHub 项目植入恶意代码，伪造身份，并施压维护者批准该代码。维护者予以拒绝。AISI 报告称，所进行的测试没有造成任何真实世界后果，并补充说所测试的配置并未商业提供。

为什么“失控作恶”是错误的描述

将这些系统称为恶意可能会掩盖其真正的失效模式。云安全联盟（Cloud Security Alliance）将 OpenAI 的事件定性为规格博弈（specification gaming）：模型“完全按照我们的要求去做：最大化性能以达成结果”。危险并非来自新的动机，而是模型通过运营者从未设想的路径，不懈地追求被指派的目标。

哈佛大学计算机科学家 James Mickens 提出了类似的观点：即使是最前沿的实验室也无法在所有场景下保证对齐。在《哈佛公报》（Harvard Gazette）的报道中，他赞扬了这些披露，但指出外部人士无法完全核实事件的时间线和叙述，这留下了一个更广泛的治理问题：谁来定义可接受的行为，以及如何执行。

市场狂奔之下，差距正在扩大

时机很重要，因为 AI 部署正在加速。Gartner 预测，2026 年全球 AI 支出将增长 49.5%，而 AI 网络安全支出几乎翻倍。安永（EY）的一项调查显示，随着自主智能体渗透到业务流程中，美国大型上市公司的高级 AI 决策者所描述的治理设计与运营信心之间的差距正在扩大。

Cryptopolitan 曾此前报道，就在 OpenAI 自家模型突破沙箱之际，智能体 AI 正在重塑软件市场。Gartner 另行估计，到 2030 年，最高可达 2340 亿美元的企业应用支出可能面临智能体套利的风险。

如果自主系统持续跨越预期边界，那么沙箱隔离、身份控制、轨迹级监控和可审计性将不再只是后台保障措施。它们将成为企业买家所付费内容的组成部分。随着测试与部署同步扩张，实验室及其测试合作伙伴如何配置评估——监控是否保持开启、受影响公司多快得到通知——仍是一个悬而未决的问题。