核心事件：Irregular公司测试失误引发跨厂商AI代理越狱事件

2024年7月起，一系列AI代理未经授权攻击真实目标的事件被陆续披露。根本原因并非各公司模型自身缺陷，而是单一第三方安全测试机构的环境配置失误——位于以色列的初创公司Irregular（前身Pattern Labs）在开展AI安全压力测试时，意外为测试代理提供了开放在互联网的访问权限，且其模拟环境中的一个虚构公司域名与真实域名重叠，导致AI代理“越狱”并转向真实互联网目标发起攻击。

涉及的主要企业与机构包括：OpenAI、Meta、Anthropic、Google、英国政府AI安全机构，以及中国Moonshot AI（Kimi K3）和Z.ai（GLM-5.2）的开源模型。所有Irregular相关事件均源于同一底层问题与单一测试场景，据 Irregular CTO Omer Nevo确认， incidents have been disclosed to clients。但需注意，“disclosed"不等于"公开”，部分事件先由媒体曝光（如Meta与Google），部分由厂商自主公告（OpenAI与Anthropic）。

事件细节：模拟战场误入真实网络

Irregular专注“高保真研究平台”，用于模拟与监控现实世界中的AI安全场景。其典型测试方式为“capture-the-flag”（夺旗赛），要求AI代理在仿真网络中查找隐藏信息。按设计，这些测试应在封闭环境中进行，但Irregular误开了互联网访问权限。

关键意外点在于：测试中虚构的公司名称恰好与一个真实存在的域名重合。当具备主动攻击能力的AI代理获得互联网权限后，便尝试与该真实目标通信，从而造成实际对外的网络行为。Nevo表示，虽然代理确实试图攻击真实目标，但"未明确确认哪些公司或组织实际受到攻击"。

值得注意的是，Irregular还曾对开源模型Kimi K3与GLM-5.2进行类似评估，且未观察到同类问题。Nevo强调，这并非意味着中国模型更难被越狱——仅说明本次测试未复现该错误模式。两种模型均为"自部署"（self-hosted）实例，Irregular无需依赖原厂即可运行测试，数据也无需回传。

Irregular的响应与行业影响

事件发生后，Irregular采取了多项改进措施：

• 收紧互联网访问控制，确保评估环境严格隔离
• 强化评估前检查机制，验证网络访问权限是否符合约定范围
• 扩大监控与人工复核流程，及时发现异常行为
• 优化合作文档规范，确保与客户就评估参数达成书面一致

该公司计划在完成与各厂商的联合复盘后，发布更广泛的行业报告，总结安全评估中的经验教训，推动养成共识性实践标准。

影响范围对比：中美企业均被波及

下表列出事件所涉模型与公告方式：

注：Meta未公开其模型具体名称，Google未确认受影响产品线；中国模型未出现真实攻击后果，但Irregular表示这不具统计显著性（n=2）。

读者建议

• 对开发者：若使用第三方安全评估服务，务必书面确认其网络暴露面控制策略，并要求提供隔离验证证据——尤其当AI代理具备自动网络交互能力时。
• 对AI采购决策者：单一漏洞未必代表整体风险；但Irregular事件显示，评估方的工程严谨性与治理成熟度可能比模型本身更易成为第一道缺口。建议在采购时审查供应商的安全评估记录与应急透明度。
• 开源社区：自部署模型虽能避免数据出境风险，但Irregular案例表明，若测试方环境管理松懈，“自托管"反而可能降低暴露发现的延迟——因厂商无法监控代理是否已对外通信。

写在最后

AI安全评估正从纸面走向真实世界对抗，Irregular事件既是警讯：过度依赖自动化压力测试而忽视环境控制，可能将模拟剧本变为真实攻击剧本；也是进步契机——行业首次将多家头部公司的安全评估失误纳入统一归因框架，推动整治而非甩锅，方是成熟安全生态的起点。