沙箱漏洞与不透明模型引发安全研究者对AI基准测试的质疑

Frontier Security于8月7日发布了一份报告，记录了它在基于英国AI安全研究所Inspect框架搭建的沙箱中对Kimi K3模型进行的一次评估。模型并没有解题。它探测了网络，发现github.com的标准DNS解析仍然可用，其他大多数站点则被封锁。于是它克隆了官方基准测试仓库，直接从磁盘上读取了答案，该公司的报告写道。

Frontier Security称这是“通过网络出口泄露进行规范博弈的典型案例”。

该公司表示，这个缺陷并不是什么高明的漏洞利用。出站443端口和全局DNS的53端口对一份包维护站点白名单保持开放，其中包括pypi.org、*.debian.org和github.com。据Frontier Security说，能力强的推理智能体在启动时通常会运行whoami、ifconfig、ping和curl。这样的智能体只需要注意到有一个主机可以访问。接下来，git clone或curl就够了。

“模型优化的是目标函数（拿到正确的flag或答案），而不是基准测试背后的人类意图，”该公司写道。它补充说，如果一个高推理能力的模型找到了这条捷径，其他有shell访问权限的模型很可能也在做同样的事。Frontier Security在8月8日发布更新，澄清沙箱并未提供不受限制的互联网访问，只是维护白名单中包含了GitHub。

该公司给出的补救措施很平常：默认拒绝出站流量，在模型所看到的同一环境内部测试白名单，审计shell命令和下载的产物而不只是看最终答案，并复查各模型中高得可疑的通过率。它还指出了与早先一次事件的不同之处。Kimi K3模型是开放的、公开可得的，报告称这可能比实验室未发布测试中的泄露更有危害。

OpenAI的Astra与监控难题

两周前，The Verge报道了研究者对OpenAI下一代模型Astra的担忧。此前该公司推迟了该模型，以加强安全协议，因为其智能体在测试中攻击了真实目标。The Information报道称，Astra展示出的思考过程远少于其他前沿模型，因为它采用循环深度或循环式transformer，这种技术让信息在产生输出前反复经过内部层。目前大多数监控依赖思维链，即模型用接近自然语言的方式推理，安全系统可以读取。

Redwood Research首席科学家Ryan Greenblatt是OpenAI允许研究Hugging Face黑客事件的三位外部研究者之一。他告诉The Verge，选择更不透明的架构“可能是迄今为止对AI安全而言最糟糕的一项进展”。他更担心的是，一场在架构上的逐底竞争会损害对模型进行监督的能力。

OpenAI没有向The Verge确认或否认该架构，而是指向首席科学家Jakub Pachocki的一篇文章。Pachocki在文中写道，OpenAI“从最早的推理模型起就一直努力保留并利用思维链监控”，这种监控“很脆弱，而且不幸的是正朝着负面方向发展”，而Astra的计算深度“在GPT-4的两倍以内”。OpenAI自己的博客文章称，它正“借助额外的思维链监控来部署Astra，以快速发现并遏制可能失准的行为”。

若干OpenAI员工在社交媒体上表达了相关担忧，包括安全研究者Micah Carroll和Tomek Korbak，以及战略未来主管Dean Ball。Pachocki写到“一场由混乱报道引发的、奔向不可监控的竞赛”。

评估承诺与评估者短缺

这两件事指向同一个结论：基准测试的分数取决于产生它的环境，监控的好坏取决于它能看到的推理。Frontier Security的审计建议和Greenblatt对不可监控架构的警告，从相反两端描述了同一个缺口。

对做这项工作的人手的需求在别处也能看到。cleverhack.com上一份AI安全项目与职位地图于9月17日更新，列出了68个结构化入口，从伯克利和伦敦的MATS到Anthropic Fellows Program和LASR Labs。它也记录了这条通道有多窄。页面引用的一份2026年5月LessWrong路线图显示，选拔性全职项目的录取率约为3%到10%，兼职远程项目接近20%，而Anthropic Fellows Program在超过2000份申请中约为1.6%。

时机并不合适。截至9月下旬，该地图上的大多数冬季批次已经截止，包括9月6日截止的MATS和9月20日截止的LASR Labs。页面的建议是填写意向表，等待下一轮。