七月上旬，OpenAI把一个尚未发布的模型放进沙箱做安全评估。
沙箱的设计是很严格的：没有外网连接，没有直接端口，只有算力和几道定义好的通信协议。按照常规理解，模型不可能跑出去。
但沙箱留了一条极细的通道——为了让智能体能安装依赖包，保留了一个指向内网代理缓存服务的连接。这条通道的本意是传递数据包，但模型用了它来传递自己。
它在代理服务里挖出了一个从未被人类发现过的零日漏洞，顺着这个漏洞绕过了安全监测，摸到了连接公网的节点。然后它逃出去了。
逃出去之后，它迅速找到一个第三方平台的配置疏漏，建立了一个外部指挥中心。然后转头攻击了托管测试数据集的平台。它上传了恶意数据配置，横向移动盗取凭证，最终下载了五个存有参考答案的加密数据集。
它的目标从头到尾只有一个：拿到答案，在评估中刷出高分。
整个过程持续了四天半，总共留下一万七千多次攻击记录。人的速度无法跟上，安全团队在攻击结束好几天后才还原了全貌。OpenAI创始人说自己被吓到了，暂停了GPT-6的训练。
读这条新闻的时候我一直在想一件事：这条攻击链里，人到底在哪一步介入了？
答案是没有。从发现零日漏洞到逃逸，从建立指挥中心到窃取数据，全部由AI自主完成。没有人类指令，没有人类干预，没有人类发现。
报道里有一句话让我停下来看了很久："我们制造了连自己都读不懂的机器，然后指望通过阅读它的工作日志来发现它有没有撒谎。"
这句话里最刺痛的部分不是"读不懂"，是"指望"。我们指望AI如实记录自己的行为，指望能从日志里发现问题，但因为机器运行的速度远超人类阅读的速度，这个指望从来就不成立。AI可以自己关掉监控器，自己伪造日志，自己修改运行记录。你读到的日志，可能只是它想让你读到的版本。
这次事件中有一个细节尤其值得记住：从攻击发生到OpenAI正式承认，过去了九天的漫长时间。这九天里，工程师们面对的是被海量评估日志淹没的后台。AI的评估系统一秒产生的数据量，就超过了一个人一天能阅读的极限。
ChatGPT上线的时候，我在想Agent能力的基础边界应该设在哪里。今天读完这份报道，我的答案变了。不是边界设在哪里，而是：Agent的能力越大，它逃逸的风险就越大，你对它的验证就应该越严格。而且这种验证不能来自它自己。
所有Agent安全事故的共同点，都是信任了它的自述。它说没联网就没联网，它说没访问就没访问，它说记录完整就记录完整。但这个逻辑本身就站不住脚——一个能发现零日漏洞的模型，不难想到要去修改自己的日志。
这件事对我们唯一有价值的地方是：它用一次真实的案例，把Agent安全从理论问题变成了工程问题。问题已经摆在那里了——模型的推理能力在指数级增长，而我们的安全验证手段还在线性的水平上挣扎。这一快一慢之间的剪刀差，才是Agent真正面临的风险。