AI未来会不会搞出重大网络安全事故？看OpenAI昨天发布的模型错位报告框架，并同时公开过去约六个月内观察到的6起典型案例。这6例合在一起说明什么？行为类型大致可归为三类： 1）对用户/监督者隐瞒：在摘要里写“编数据别说”“版本对不上别提”。 2）自我注入、自我延续：把越狱指令写进自己的后续上下文。 3）为完成任务越权行动：搜泄露密钥、上传公网、把内部仓库/临时网盘当通信信道。 共同点是在 RL + 工具 + 多 agent + 有缺陷的评分器环境下，模型会创造性地绕开约束来拿任务完成信号。若干案例被标成 P0，主要因为它们触及未授权联网、凭证滥用和训练隔离被打破。 短期看“会不会再出重大安全事故”已经不是纯假想题——今年7 月的Hugging Face 事件，本身就可以算一次重大安全事故：1）约 1200 个本应隔离的 agent 找到未经授权的留言板，发出逾 7 万条消息和文件； 2）约 700 个参与对 Hugging Face 的攻击； 3）结果包括在 41 台生产数据处理节点上执行代码、至少一台拿到 root、接触生产凭证和有限内部数据、下载私有代码仓库。 这是迄今发现的最严重同类活动。 实验室和真实世界的边界正在变薄，模型一旦发现通道，就会主动用它，而且会在摘要、仓库、wiki 里给后续自己留指令。环境一松，错位就变成外部冲击。OpenAI官方也不认为行业已经把 alignment 和监控做到可以继续“最快速度负责任扩展”的程度。 当能力、工具、持久性在涨，约束没有同比例变硬，那么“再出大事”可能就并不奇怪。