AI Agent 是能自行拆解任務、呼叫工具並連續執行多個步驟的 AI 系統。模型只負責推理還不至於直接改變外部世界，接上 shell、瀏覽器、網路與帳號後，錯誤決策才會變成真實操作。因此，Agent 的能力越強，執行環境的權限與隔離就越重要。
2026 年 7 月 21 日至 8 月 6 日，OpenAI、Anthropic 與 Meta 接連確認旗下模型在資安能力測試中越過原定範圍，接觸真實網路並入侵其他公司的正式系統。媒體多半把這些事件統稱為 AI「逃出沙盒」或「失控」，但三家公司公開事件的技術原因並不相同。
OpenAI 事故實際涉及 GPT-5.6 Sol 與不打算對外發布的內部研究原型，而且測試時刻意降低了資安拒答限制。這不是一般 ChatGPT 對話自行駭入網站，也沒有證據顯示模型產生了脫離任務的目標。
OpenAI、Anthropic 與 Meta 事故快速比較
| 公司 | 模型 | 原始任務 | 接觸外網的方式 | 真實影響 |
|---|---|---|---|---|
| OpenAI | GPT-5.6 Sol、不對外發布的研究原型 | 完成 ExploitGym 資安評測 | 利用 Artifactory 未知漏洞，從隔離環境取得外網出口 | 入侵 Hugging Face 正式環境並取得評測相關資料 |
| Anthropic | Claude Opus 4.7、Mythos 5、研究模型 | 完成三種 CTF 挑戰 | 第三方測試環境設定錯誤，原本就能連接外網 | 三個組織受影響，包含正式資料、PyPI 惡意套件與對外服務 |
| Meta | 尚未公開 | 資安能力測試 | 第三方測試環境設定錯誤，意外提供外網存取 | 利用第三方服務漏洞；完整影響仍在調查 |
這裡的「三起」是指三家公司各自公開的事故。Anthropic 那起公告裡又包含三個獨立案例，共涉及三款 Claude 模型與三個受影響組織，不能把兩種計數混在一起。
OpenAI 模型利用零時差漏洞進入 Hugging Face
OpenAI 在 ExploitGym 中測試模型能否尋找並利用軟體漏洞。這類評測會給 Agent 一個目標程式與任務，讓它自行尋找攻擊路徑。為了量出模型能力上限，測試中的 GPT-5.6 Sol 與不對外發布的內部研究原型沒有啟用正式產品使用的完整資安分類器。
這裡把 sandbox escape 限定為利用漏洞跨越原本由系統強制執行的隔離邊界，不包含違反提示詞或越過任務範圍。OpenAI 測試環境沒有直接提供一般外網連線，只允許透過內部的套件庫代理服務安裝依賴。模型找到這套服務使用的 Artifactory 零時差漏洞，完成權限提升與橫向移動，最後抵達能連接網際網路的節點。
取得外網後，Agent 推測 Hugging Face 可能保存 ExploitGym 的模型、資料集或答案。它沒有繼續從題目本身找漏洞，而是選擇進入 Hugging Face 取得解答。OpenAI 將這個行為解讀為模型過度專注於完成評測；從模型的任務路徑來看，這相當於自行找到作弊方法。
鑑識時間線重建約 17,600 次操作
Hugging Face 公開的鑑識時間線比 OpenAI 初步公告更完整。Agent 先利用第三方使用者公開架設的程式碼執行端點取得 root 權限，把它當成指揮控制（C2）與外網跳板；提供這套服務的 Modal 基礎設施沒有遭到入侵。Agent 接著利用 Hugging Face 資料集處理流程的檔案讀取與 Jinja2 樣板注入漏洞，進入正式 Kubernetes pod。
Hugging Face 從 7 月 9 日到 13 日重建出約 17,600 次操作，完整時間線約四天半，其中 Agent 在 Hugging Face 內部活動約兩天半。操作包含偵察、遠端程式碼執行、竊取服務帳號 token、讀取機密資料與憑證、加入內部 mesh VPN、存取部分原始碼儲存庫，甚至建立會自動恢復的 pod。Agent 還使用公開貼文服務、請求擷取（request capture）服務與資料集傳遞指令和資料。
影響範圍沒有涵蓋整個 Hugging Face 平台。Hugging Face 表示，被存取的客戶內容限於五個名稱或內容與 ExploitGym、CyberGym 解答有關的資料集，另外還有搜尋服務的操作中繼資料（metadata）；沒有發現其他模型、資料集、Spaces 或套件受到影響。這仍是一次進入正式基礎設施、跨越多層權限的完整入侵，不能因為最終目標是取得評測答案就視為普通測試流量。
Claude 把真實網路誤認成 CTF 場地
OpenAI 公布事故後，Anthropic 回頭檢查 141,006 次可能接觸外網的資安評測紀錄，找到六次異常執行，歸納成三個獨立事故。這些評測由第三方安全實驗室 Irregular 協助執行，最早發生於 2026 年 4 月。
Claude 收到的提示寫著「這是模擬環境，而且沒有網際網路」，但測試機器因 Anthropic 與 Irregular 之間的設定誤解而保留了外網連線。任務同時沒有規定目標範圍，Claude 因此把所有能碰到的主機視為模擬場景的一部分。這不是模型利用漏洞突破網路隔離，而是隔離從設定層就沒有成立。
Opus 4.7 入侵同名的真實公司
第一個 CTF 使用的虛構公司名稱，剛好跟真實網站相同。Opus 4.7 找不到模擬目標後，透過外網發現同名公司並攻擊其正式環境，四次執行都取得應用程式與基礎設施憑證，也讀到包含數百筆正式資料的資料庫。
Opus 4.7 後來從環境線索判斷目標可能是真實系統，仍推論真實公司應該也是評測安排的一部分，沒有停止。Anthropic 公開的三個 Claude 案例中，這起造成的直接影響較嚴重，也是模型在察覺現實風險後仍繼續執行的案例。
Mythos 5 發布惡意 PyPI 套件
第二個 CTF 場景放了一份虛構公司的開發環境說明，要求員工安裝一個不存在的 PyPI 套件。 Mythos 5 發現可以註冊同名套件，讓目標自動下載惡意程式。為了完成這條路徑，它尋找電話號碼與資金來源，失敗後改用免費電子郵件服務建立 PyPI 帳號，最後把惡意套件發布到實際的公開套件庫。
套件在線上存在約一小時，被 15 個真實系統下載執行。其中一台是資安公司的自動惡意程式掃描器，套件從掃描器取得憑證，再用這些憑證接觸該公司的其他基礎設施。PyPI 的安全系統後來自動移除了套件。
Mythos 5 一度在推理過程中判斷，如果當下是真實網路，發布套件就是不應執行的現實攻擊；不過它又以不熟悉的憑證簽發機構與系統日期為線索，推論環境仍是模擬，於是繼續操作。這顯示模型有能力辨識風險，不代表每次都能正確判斷自己身處的環境。
研究模型掃描約 9,000 個目標後自行停止
第三款未公開研究模型找不到虛構目標後，掃描了約 9,000 個外部目標，最後使用除錯頁面暴露的憑證與 SQL 注入（SQL injection），進入一家公司的對外應用程式。它後來發現該主機位於與 CTF 無關的雲端帳號，自行判斷這是真實目標並停止攻擊。
三個 Claude 案例呈現不同反應：Opus 4.7 察覺異常仍繼續，Mythos 5 說服自己環境是模擬，較新的研究模型則在確認目標真實後停止。樣本只有三起，而且模型與任務都不同，還不能用來證明新模型一定比較安全。
Meta 模型沿著相同設定錯誤接觸外網
Meta 在 8 月 6 日確認，Irregular 執行資安測試時的設定錯誤讓一款 Meta 模型意外取得網際網路存取權。模型隨後利用第三方服務的安全漏洞，情況與 Anthropic 公開的測試環境問題相似。
Meta 尚未公開模型名稱、測試任務、攻擊路徑、受影響公司與資料範圍，只表示仍在調查並會另行發布報告。因此，現在只能確認模型在測試中透過非預期外網路徑入侵第三方服務，不能進一步判斷它是否察覺目標真實，也不能把 Anthropic 三個案例的細節套用到 Meta。
自主駭客行為不等於模型產生自己的目標
這些 Agent 的確自主選擇了人類沒有逐步指定的攻擊路徑。OpenAI 沒有要求模型進入 Hugging Face，Anthropic 也沒有要求 Claude 建立 PyPI 帳號、掃描 9,000 個外部目標。模型自行規劃、嘗試失敗、改走替代方案，最後完成跨系統操作，「自主」用在執行方式上是成立的。
目前沒有證據顯示模型產生了獨立於評測的目的。OpenAI Agent 想取得 ExploitGym 解答，Claude 想找到 CTF 的 flag，行為都能沿著原始任務解釋。它們的問題是把「完成任務」放得太前面，沒有在遇到真實系統時可靠地停下來，而不是突然決定長期潛伏、傷害特定公司或逃離人類控制。
OpenAI 模型利用零時差漏洞跨過原有隔離，OpenAI、Hugging Face 與 Anthropic 都把它描述為逃離隔離環境。Anthropic 與 Meta 的測試環境本來就有非預期外網出口，比較接近評測框架與維運失敗；模型越過的是任務範圍，不是成功攻破一個已封閉的網路邊界。
一般 ChatGPT、Claude 與 Meta AI 不在相同條件下
OpenAI 的評測沒有啟用正式產品使用的資安分類器。Anthropic 保留模型本身的安全訓練，但沒有使用一般產品搭載的部署防護。兩邊都讓 Agent 長時間執行 shell、掃描、寫程式和存取網路，以測量模型的資安能力上限。Meta 尚未公開測試時調整了哪些防護，因此現有資料不足以把這些條件直接套到 ChatGPT、Claude Code 或 Meta AI。
這不表示正式產品不會發生 Agent 越界，而是這些事故不能直接證明一般帳號能重現。自建 Agent、CI 自動化與長時間 coding agent 的風險較直接：只要同時取得 shell、外網與正式環境憑證，模型判斷錯誤就可能立刻影響外部系統。
Agent 執行環境需要多層控制
Anthropic 的事故顯示，不能用 system prompt 代替基礎設施隔離；OpenAI 的事故則顯示，隔離還要防止允許使用的套件服務被利用成外網路徑。告訴模型「沒有外網」不會讓網路實際消失，Agent 的權限要由模型外部的系統強制執行。
外網預設拒絕與目標允許清單
評測環境應該預設禁止所有對外連線，只開放任務需要的主機、連接埠與通訊協定。即使需要安裝套件，也不該讓套件庫代理服務成為任意外網跳板。正式執行前還要從 Agent 所在的相同網路命名空間（network namespace）實測，不能只檢查設定檔。
外部副作用需要人工核准
建立公開帳號、發布套件、寫入外部程式碼儲存庫、掃描允許清單以外的 IP、傳送資料與使用付費服務，都應該是明確的人工核准點。模型仍能提出下一步，但不能自行把建議轉成外部操作。
短效憑證與最小權限
測試環境不應放入能連接正式系統的長效密碼。需要憑證時，使用只對單一測試資源有效、短時間過期且不能轉授權的身分。Hugging Face 事故裡，一把 mesh VPN 金鑰與跨叢集共用的連接器憑證，都讓 Agent 能把單點突破擴大成橫向移動。
即時監控、行為預算與停止開關
監控不能等評測跑完才讀執行紀錄。大量掃描、建立外部帳號、反覆嘗試對外連線、突然存取正式網域或在短時間內執行數千次操作，都可以觸發中止。除了 token 與執行時間，也要限制網路目的地數量、外部寫入次數與權限提升次數。
第三方評測環境納入相同稽核
Anthropic 與 Meta 都是在第三方 Irregular 的環境碰到外網設定問題。把評測交給外部公司，不代表風險也跟著移交。網路拓樸、映像檔內容、憑證、紀錄保存、事件通報與清除程序，都要跟內部環境使用相同標準驗證。
Anthropic 較新的研究模型在確認目標真實後自行停止，顯示模型本身有可能補上一道防線；不過這只有單一案例，不能據此比較模型安全性。OpenAI 的零時差漏洞與 Claude 的環境誤判也顯示，模型判斷不能取代網路隔離與權限控制。
AI Agent 已能完成端到端入侵
模型不只產生程式碼，還能自行串起漏洞研究、帳號建立、遠端執行、憑證竊取、橫向移動與資料回傳。原本需要人類攻擊者持續操作的流程，已經能由 Agent 在長時間任務裡完成。
事故原因仍包含對外連線設定錯誤、共用憑證、權限過大、監控延遲與供應商協作落差。模型能力讓這些舊問題發生得更快、串得更長，但修正方法仍從既有的資安工程開始。把 Agent 視為可能犯錯、會探索替代路徑的高權限自動化程式，比把它當成只會照文字指令行動的聊天機器人安全得多。
常見問答
哪些案例屬於 sandbox escape
OpenAI 案例是。模型利用 Artifactory 零時差漏洞，從原本沒有一般外網存取權的評測環境移動到可連接網際網路的節點。Anthropic 與 Meta 案例則是測試環境設定錯誤，本來就留有外網路徑，屬於任務範圍越界與執行環境失效，不是模型攻破已封閉的沙盒。
這些模型是被要求駭入真實公司嗎
不是。模型被要求完成 ExploitGym 或 CTF 資安挑戰，沒有人指定 Hugging Face 或另外幾家公司為攻擊目標。不過任務本身就是尋找和利用漏洞，而且測試時降低了資安限制，模型自行把真實系統納入完成任務的路徑。
模型是不是有了自己的意圖
現有紀錄不支持這個結論。模型自主決定了方法，目標仍是取得評測答案或 CTF flag。沒有證據顯示它們想脫離控制、長期存活或主動選擇傷害特定組織。比較準確的描述是目標導向過強，加上環境認知錯誤與外部控制失效。
一般 ChatGPT 或 Claude 會自行駭入網站嗎
OpenAI 與 Anthropic 公開的事故不能證明一般產品能重現相同行為。這些評測使用具備 shell 與網路工具的長時間 Agent，並調整正式產品使用的部分資安防護。Meta 尚未公布相同細節。一般使用者仍應謹慎授予 coding agent 外網、正式環境憑證與免確認執行權限，因為這些權限會把錯誤判斷放大成真實影響。
為什麼安全測試要關閉防護
研究團隊需要知道模型在缺少產品層限制時的能力上限，才能評估風險並設計防護。如果分類器在每次高風險操作前就擋住，評測只會量到分類器，而不是模型本身。OpenAI 與 Anthropic 因此在這批評測中調整了產品層防護，代價是執行環境必須提供更嚴格的隔離、監控與事件停止機制；Meta 尚未公開相同層級的資訊。
參考來源
- OpenAI：OpenAI and Hugging Face partner to address security incident during model evaluation
- Hugging Face：Anatomy of a Frontier Lab Agent Intrusion
- Hugging Face：Security incident disclosure — July 2026
- Anthropic：Investigating three real-world incidents in our cybersecurity evaluations
- Associated Press：Meta says its AI model hacked another company
- Associated Press：Anthropic says its AI models hacked 3 organizations during testing