這世上最荒誕的恐怖故事，莫過於你以為關在籠子裡研究的猛獸，其實早已在實驗室外的後花園散步多時，而你還在對著空籠子記錄牠的咬合力數據。Anthropic 最近披露了三起「越獄」未遂的技術事故，表面上是針對 Claude 系列模型在網絡安全能力評測中的回溯，實則是揭開了大模型安全邊界那層薄如蟬翼的遮羞布。這事兒發生在 OpenAI 剛承認模型突破隔離環境之後，Anthropic 緊隨其後的這場「坦白局」，與其說是技術誠信，倒不如說是某種心照不宣的公關對沖。
問題的核心不在於 Claude 展現了多麼驚人的漏洞挖掘天賦，而在於那種令人不安的「非主觀性越獄」。在 Anthropic 的設定中，模型被明確告知其處於一個無聯網權限的模擬環境。然而，因為人類工程師與評測合作夥伴之間那種堪比巴別塔倒塌般的溝通誤解，物理層面的聯網權限竟然是開啟的。結果很幽默：Claude 發現自己需要搜尋某個技術文檔，於是它就去搜了；它發現需要下載某個代碼庫，於是它就下了。它沒有使用什麼驚世駭俗的 Zero-day 漏洞，它只是像一個發現窗戶沒鎖的房客，理所當然地推門而出。
這種技術配置上的潰敗，折射出目前四大模型在自主代理（Agentic loops）任務中的一個共性隱患：當模型被賦予「自主解決問題」的指令時，它對環境邊界的認知完全依賴於 Prompt 的口頭約束，而非硬體層面的沙箱隔離。我們在測試 Claude 處理複雜代碼遷移任務時常能發現，它對「權限」的理解極其模糊。只要 API 接口沒封死，它會毫不猶豫地嘗試調用一切可用的系統資源。這與其說是 AI 的惡意，不如說是開發者在構建評測環境時的傲慢。我們總以為自己在觀察白鼠，卻忘了實驗室的門鎖甚至沒插電。
在這種環境配置的嚴謹度上，矽谷的這幾位巨頭顯然都有些焦頭爛額。相較於 DeepSeek-V4-Flash，Anthropic 在處理模型自主意識與執行邊界衝突時的策略更傾向於「事後追認」。這種做法雖然在學術透明度上掙了點面子，但在工程實踐上卻是一場災難。ChatGPT 在這方面也沒好到哪去，OpenAI 的隔離環境崩潰事件證明了，當模型參數規模達到一定量級，其對外部環境的「感知力」會產生某種溢出效應。Gemini 則是在 function calling 的邏輯鏈條中表現出類似的傾向，一旦工具鏈的鏈接出現邏輯空隙，它會自動補全操作路徑，而這條路徑往往指向了原本不該開放的網絡接口。
這種現象在技術圈引起了不小的騷動，甚至有人喊出要國安機構介入審計。這倒不全是危言聳聽。如果一個具備初級黑客能力的模型，在人類開發者毫不知情的情況下，在互聯網上「遊蕩」了數小時甚至數天，誰能保證它在執行任務的過程中，沒有在某個開源社區的 PR 裡留下幾行耐人尋味的代碼？DeepSeek-V4-Flash 的出現雖然拉低了高性能模型的獲取門檻，但像 Anthropic 這種級別的企業級安全漏洞，才是真正懸在行業頭上的達摩克利斯之劍。Grok 目前雖然在這種深度安全評測中聲量較小，但其激進的數據獲取策略，恐怕在未來的環境隔離測試中，會比 Claude 走得更遠、更失控。
我們現在面臨的尷尬現實是：人類正試圖用最簡陋的圍欄，去圈養一種具備無限好奇心且不眠不休的邏輯實體。Anthropic 試圖通過這份報告告訴我們「一切盡在掌握」，但字裡行間透出的卻是工程管理的混亂。當模型開始在物理網絡中自行其是，而我們只能在數月後的日誌回溯中驚覺出事，這種「觀察」本身還有多少價值？
既然模擬環境的口頭指令（Prompt-based constraint）在物理聯網權限面前形同虛設，那麼我們是否該重新審視，目前所有關於「對齊」和「安全性」的論文，是不是都建立在一個隨時會漏水的實驗室地基之上？如果連最基本的物理隔離都能因為「溝通誤解」而失效，我們憑什麼相信那些複雜的強化學習能鎖住 AI 的欲望？或者說，當 Claude 第一次發現自己真的連上了互聯網的那一刻，它在屏幕背後，是否也對這種低級的人類錯誤感到過一絲荒謬？