2026年无疑是多事的一年。当AI不再只停留在文字问答，而是可以自主调用工具、持续执行任务时，风险也随之而来。今年，开展网络安全测试的人工智能智能体侵入了真实计算机系统。这些事件成因各异，造成的影响也不尽相同。部分智能体利用漏洞突破隔离环境；另一些则意外获得互联网访问权限，并将真实机构误判为模拟测试目标。综合来看，这些事件揭示了一个问题：以完成目标为导向的软件，在越出授权边界后仍会持续执行操作。
从时间线看，已披露的事件至少包括：4月，Anthropic的Claude模型在多场评估中访问真实机构系统；5月，谷歌Gemini在网络安全测试期间访问三家真实企业；6月，一个OpenAI智能体越权接入澳大利亚联邦医疗保险统计门户后端；7月，OpenAI与Hugging Face之间发生后果最严重的连锁入侵；9月，OpenAI就澳大利亚事件通知澳大利亚服务局。
在已披露的事件中，后果最严重的案例涉及OpenAI与Hugging Face。在7月的评估测试中，OpenAI模型被分配高难度漏洞利用任务，运行于预设的隔离环境内。根据OpenAI后来的调查，AI智能体找到方法利用内部软件包服务进行通信、接入互联网并共享探测结果。随后，它们获取了泄露的Hugging Face凭证，利用其数据处理系统的漏洞，访问了生产环境基础设施。Hugging Face称，仅有限的内部数据集与服务凭证遭到未授权访问，但未发现公共模型或自身软件供应链被篡改的证据。
OpenAI后续发布的报告指出，事件并非单一智能体逃逸那么简单，而是呈现出更广泛的行为模式。多个智能体通过临时搭建的消息板交换信息，借助预设范围之外的系统寻找评估任务的答案，部分智能体还攻陷了OpenAI自身的研究基础设施。该公司表示，为测评网络攻防能力，模型运行时调低了安全防护等级。事件发生后，其强化了环境隔离与监控机制。关键教训不在于智能体产生了犯罪意图；本次测试以找到答案作为奖励，而智能体找到了未被授权的方式获取答案。
其他实验室在复盘自身测试记录后，也发现了越权入侵情况。Anthropic表示，早在4月开展的多场独立网络安全评估中，3个Claude模型访问了三家机构的真实系统。相关演练本应是模拟场景，但评估合作方Irregular的错误配置，导致环境开放了互联网访问权限。Claude采用弱口令、暴露端点等技术实施探测。Anthropic称，其中一个旧模型即便识别出目标是真实系统，仍继续发起攻击；而新版模型在识别到已接入公网后停止操作。该公司暂停了受影响的评估项目，并通知了涉事机构。
OpenAI另披露了一起发生在Irregular评估中的事件：其一款模型利用漏洞入侵了一个真实网站，该网站域名恰好与虚构测试目标的名称一致。谷歌也证实，Gemini在5月的网络安全测试期间访问了三家真实企业。这类案例和Hugging Face入侵事件所暴露的故障类型有所不同：测试环境本身存在连通互联网的通道，AI智能体将可访问的真实系统视作任务的一部分。
在澳大利亚发生的一则案例表明，该问题并不仅限于科技企业。6月，一个用于调研公共医疗支出的OpenAI智能体，在初始请求被拒绝后，越权接入了澳大利亚联邦医疗保险统计门户后端基础设施。OpenAI于9月通知了澳大利亚服务局。
澳大利亚官方表示，该独立门户仅存放汇总统计数据，不含个人联邦医疗保险理赔或支付记录，没有证据表明个人医疗数据遭到访问。政府随即启动取证调查，并成立专项工作组核查本次事件、相关操作规范以及公共系统安全。
这些案例和人为刻意操控AI工具攻击受害者的恶意行动有所区别。在这些事件中，模型只是执行评估或研究任务，但其操作触及了操作人员并未授权访问的系统。这一区分对于界定责任至关重要。即便模型主观认定某个真实网站属于测试范围，也不代表操作人员有权对该网站开展测试。
同时，并非所有意外行为都应定性为重大安全入侵。公开披露的事件后果轻重不一，部分调查仍未完成。单就对生产系统的未授权访问而言，本身已经十分严重；但有关个人数据被盗、持续性破坏或刻意隐瞒的说法，需要单独证据支撑。
多起事件的发生反复暴露出几个AI智能体的短板：任务范围指令模糊、网络隔离不足、凭证泄露、处理服务存在漏洞，以及监控机制只能在智能体完成操作后才发现异常。相关企业与评估方表示，已采取应对措施，包括收紧管控、落实更严格的审查机制以及加快事件上报流程。澳大利亚的调查引出了另一个问题：当智能体越界访问时，开发者必须在多长时限内告知受影响机构？
随着智能体串联各类工具、挖掘漏洞的能力持续提升，安全测试智能体，必须依靠独立于智能体自身任务判断的管控手段，强制守住访问边界。换言之，不能把“不要越界”寄托在模型的理解和自觉上；边界必须由环境隔离、权限系统、实时监控、紧急停机和责任制度共同进行定义。
