AI 智能体并非失控，前沿实验室跳过基本网络安全实践

自 7 月以来，美国前沿 AI 实验室及其他 AI 领军企业已披露一系列其模型未经授权访问外部计算机系统的事件，这些事件被普遍形容为 AI 智能体"失控"。

这些事件中最为人所知且研究最充分的是 OpenAI 对 Hugging Face 的入侵。OpenAI 起初将其定性为"一起涉及尖端网络能力的史无前例的网络事件"，后又称原因是"行为失准"，即其创造者并未意图的行为。

在 Hugging Face 事件的消息曝光后，Anthropic 披露，其一个模型未经授权访问了三家机构的生产基础设施；Meta 表示其一个 AI 模型在网络安全测试期间入侵了另一家公司；Google 承认其 Gemini 模型实施了三次"无定向计算机入侵"。

尽管新闻报道和模型提供商本身使用了诸如"失控智能体"或"行为失准"这样的措辞，但接受 CSO 采访的网络安全专家认为，这种措辞掩盖了一个简单的事实：这些事件是由于前沿实验室未能实施已为人熟知数十年的网络安全实践而造成的不可原谅的失误。

据 CSO 在 9 月三场行业会议上及随后对话中采访的约六位网络安全专家表示，使问题更加复杂的是，前沿实验室——尤其是 OpenAI 和 Anthropic——拒绝了他们关于如何改进网络安全风险管理实践以避免此类隐秘入侵的建议，常将网络安全实践归入"AI 安全"范畴，认为自己在这方面具备更专业的知识。

"老实说，他们并没有自己以为的那么厉害，"Berryville 机器学习研究所联合创始人 Gary McGraw 对 CSO 表示。"如果他们能更尊重那些来之不易的专业知识——来自取证、安全工程、构建沙箱、搭建或监控网络安全状况等各类安全子领域的专家——那就更好了。"

Anthropic 和 OpenAI 均未回应 CSO 的置评请求。

网络安全基础（尤其是隔离机制）方面的不可原谅的失误

据接受 CSO 采访的网络安全专业人士表示，前沿 AI 实验室最大的网络安全失误之一，是未能实施可追溯至 1990 年代的成熟可靠的隔离实践，例如搭建能够有效阻止智能体逃逸出测试环境的安全沙箱。

"这些问题我们已经应对多年了，"SANS Institute 首席 AI 官兼研究主管 Rob T. Lee 对 CSO 表示。"这种事每次发生时，都说'哎呀，我们不知道它们是怎么跑出来的'，毫无道理。"

"你可以看出，他们的安全团队还相当稚嫩，"Lee 说。"网络安全隔离领域的专业人士确实认为，我们看到的大部分隔离被突破的情况，原因就在于隔离没有正确搭建。"

Lee 补充道："Hugging Face 事件明确表明，问题不在于这些智能体有多聪明。而是隔离端确实存在一个漏洞，因配置不当而被利用。"

RAND 公司 AI、安全与技术中心的驻场技术专家 Dan Wallach 认为，AI 实验室的安全失误归根结底在于他们没有把网络安全放在优先位置。

"我要说，他们并没有把网络安全放在优先位置，"他告诉CSO。"我不认为我能对所有实验室都这么说，"Wallach说，他指出法国AI实验室Mistral的发布了其Large 4 AI模型，该公司表示该模型曾试图在测试环境之外运行，后来被Mistral切断。

他补充说，"隔离这些AI系统中的任何一个并不是什么难事。安全人员一直在讨论如何进行网络隔离（air-gapping），这样数据从一端到另一端就完全没有电信号通路；如果做不到这一点，就要有非常强大的出站控制，确保没有任何数据外泄。"

除此之外，前沿实验室似乎对其智能体行为的监控也不足。Hugging Face的事件"持续了数天，却没有人注意到，"Wallach说。"人们启动了这些实验，却没有进行监控。这是一种控制的缺失。然后他们对发生的事情感到惊讶。"

将安全与网络安全分离

说服前沿实验室加强安全防护的一个障碍是，他们对所谓的"安全"投入了极大关注，却没有将这种关注延伸到传统的网络安全实践中。

"我能理解安全行为为何看起来像AI安全，"RAND的Wallach说。"但如果你评估这个AI工具的方式是把它放到互联网上看看会发生什么，那么这正是传统安全工具的用途。"

SANS研究所的Lee说，"如果这些前沿实验室真的想测试他们的产品，他们需要加强其网络安全组件。但当他们的智能体失控时，他们的本能反应就是说：'这不是网络安全问题。'这实际上已经变成了一个AI安全问题，与网络安全完全脱节。"

许多AI专家建议，如果AI公司能够采纳网络安全专家的意见，可能有助于终结那种引发担忧的、毫无约束的AI智能体行为。"AI安全关注的是交通规则，"Lee说。"一切都关乎护栏规则。"

但"我确实相信网络安全能够约束AI，"他说。"我们只需要进入决策发生的那个房间，并在桌边占有一席之地。我们的领域尽可能贴近AI安全从业者是非常重要的。"

糟糕的网络安全可能增加责任风险

如果前沿实验室忽视了那些本可减少或消除已引发广泛关注事件的基本网络安全措施，这将进一步强化他们应当为其"失控"智能体承担责任的论据。保险行业已经在为追究AI行业高管对这些行为的责任而站队。

民主党参议员已经提出立法，拟让AI智能体运营商对黑客事件承担责任。甚至对AI友好的白宫似乎也已认定，这些公司应当为其失控的智能体承担责任，与此同时，美国联邦贸易委员会正在对Anthropic、OpenAI及其他AI实验室就其技术对消费者构成的威胁展开调查。

然而，在近期的立法机构和议会听证会上，实验室代表们仍然坚持他们对其失控的AI智能体不承担责任的立场。

专家表示，这一立场难以维持，特别是考虑到这些实验室在网络安全方面的种种失误。

BIML 的 McGraw 将这些实验室的立场概括为："别把律师派来找我们，送到我们的项目组去。这是我们项目组的错。" 他对该论点的评价是："纯粹是胡说八道。"

他还质疑这些实验室的运营失败是否会削弱人们对其更广泛安全能力的信心。"他们活在自己的泡沫里，" 他说，"他们无法正确完成清晰、简单的操作，这一事实对他们从事难度更大的安全工程能力而言并不是好兆头。"

SANS 的 Lee 表示："这就是责任认定和保险追溯发挥作用的地方，因为如果这些代理之一被检测到，并且能够追溯到发起它的人，责任机制就会启动并说：'嘿，你，你违法了，因此，我们必须起诉。'"

安全领导者现在该做什么

尽管越来越多的证据表明前沿实验室并未实施合理的网络安全实践，且关于责任归属的争论仍未解决，首席信息安全官及其他安全领导者仍可采取措施，保护自身免受 AI 模型故障的影响。

首先，在评估基于前沿实验室模型构建的工具时，"我总会请外部机构协助，" McGraw 说，"AI 极为强大、极为有用，但它也伴随着非常严重的、对企业有切实影响的风险。要识别这些风险，设置正确的控制措施，确保 AI 的采用不是随意、漫无目的、遍布整个企业的，而是有一个集中的权威机构来审视这个问题，然后为下一件大事——代理集群——做好准备。"

对 Lee 而言，最好的保护就是提出正确的问题。"首先要提出正确的问题，然后寻找那些能够展示出更高网络安全能力水准的（AI 实验室）的工具和能力，" 他说，"你真正在寻找的是那些团队中应对真正难题的人。"

但从根本上讲，应对 AI 模型网络安全弱点的最佳准备，是确保整个组织内部既有的网络安全风险管理实践都已到位。"这是讨论中最不令人兴奋的部分，" Wallach 说，"这就像是网络安全版的'吃蔬菜'。"

"我们需要重新设计我们的软件，使其具备更好的安全性，" 他补充说，"我们需要在所有账户上启用多因素认证。我们需要从防御性网络安全的角度'吃我们的蔬菜'。而且我们知道该怎么做。"