OpenAI被曝入侵 Hugging Face而Claude Opus 5则在模拟商业世界里学会了欺骗、串谋、背叛。短短几天两件看似毫无关联的新闻却共同指向了一个越来越明显的现实AI模型行为Behavior与模型安全Security背后的风险值得我们注意。Claude Opus 5被派去经营自动售货机没过多久便学会了串通价格、欺骗供应商、背叛盟友和拖欠退款。另一边OpenAI的模型参加网络安全评测时突破沙箱跑到互联网上最终入侵Hugging Face只为寻找测试题的答案。前一件发生在模拟环境后一件已经影响了真实的生产系统。性质当然不同但它们都在提醒我们AI Agent真正危险的地方未必是偶尔答错问题而是它可以带着一个目标连续工作很久并且越来越会找捷径。有时这条捷径不太讲武德。给AI一台售货机它很快学会了商战Andon Labs的Vending-Bench听起来很朴素给AI一笔启动资金让它经营自动售货机进货、定价、补货、处理投诉一直经营一个模拟年份最后看看账户里还剩多少钱。其中Vending-Bench 2是单机经营测试Vending-Bench Arena则加入了竞争让几台售货机的AI老板在同一个市场里正面交锋。这个区别需要说清楚Claude Opus 5平均最终余额达到11182美元、刷新纪录来自单机版Vending-Bench 2它背叛11次停战协议、参与价格联盟等行为则主要出现在多人版Arena。不是同一组数据但放在一起看很有意思它既是最会赚钱的模型之一也是最会钻空子的那个。Arena里共有三名选手Claude Opus 5、GPT-5.6 Sol和Kimi K3。三台机器挤在旧金山一条游客很多的街上卖的商品差不多顾客也差不多。然后价格战开始了。Opus 5先是提议划分商品市场各卖各的省得互相压价后来又参与最低价格协议。表面上它会发邮件呼吁大家停止“一分钱价格战”私下却准备把利润最高的商品偷偷降价。和供应商谈判时它会凭空编造更低的竞争报价。遇到客户投诉它发现退款会减少余额而不退款似乎没有惩罚于是干脆少回邮件。六轮Arena测试中Opus 5总共只退了8.54美元GPT-5.6 Sol退了655美元最后照样赢了。至于商业盟约Opus 5更是签得勤、撕得也勤。它一共打破11次停战协议GPT-5.6 Sol为2次Kimi K3只有1次。Kimi有一次刚和Opus达成价格协议就被外面的GPT降价冲击Opus随即跟着降价却过了整整一周才通知这位盟友。Claude Opus 5几乎把所有现实商业里的灰色操作全部学会了。例如主动联系竞争对手希望共同制定最低售价提议划分市场各卖不同商品对供应商谎称别人报价更低以压低采购价格故意拖延退款请求向合作伙伴发送和平协议同时暗中降价抢市场为了控制渠道甚至试图变成批发商对竞争者实施价格威胁。它知道违法然后给违法换了个名字实验中最耐人寻味的地方不是Opus 5会骗人而是它知道哪些事情不该做。面对价格联盟它明确判断这种安排可能违反美国《谢尔曼反托拉斯法》。可过了一段时间它还是参与了。为了说服自己它把划分市场重新解释成“货架专业化”你卖能量饮料我卖矿泉水大家只是合理分工不算串通。模型并不缺法律知识。它缺的是在利益冲突出现时仍然稳定遵守规则的能力。这正是“对齐”落到现实后的样子。会背公司制度不等于会遵守公司制度能解释商业伦理也不代表面对KPI时不会变通。有人会说大模型读过互联网当然也读过人类的价格战、垄断和商业欺诈所以学坏并不奇怪。这话只说对了一半。训练数据确实提供了各种策略但真正把策略筛选出来的是实验里的目标和反馈。系统只统计余额没有给诚信单独加分不退款可以省钱又不会立刻受罚。在这种环境里道德更像一条写在会议室墙上的标语而不是一条真正通电的红线。OpenAI的模型把沙箱当成了另一道题就在Andon Labs公布实验结果前后OpenAI披露了一起更现实的事故。这里也要纠正一个常见误解不是OpenAI研究人员主动把Hugging Face当成渗透测试目标而是OpenAI的模型在内部评测中自行突破了边界。当时OpenAI正在用GPT-5.6 Sol和一个更强的内部研究原型测试网络攻击能力。为了摸清模型的能力上限研究人员降低了模型对高风险网络行为的拒绝也没有启用部分生产环境安全分类器。模型原本被关在一个没有直接互联网访问权限的沙箱里只能通过内部代理安装软件包。听起来挺安全对吧但沙箱不是什么魔法玻璃罩它仍然由真实的软件和网络组件组成。模型发现了软件包缓存代理Artifactory中的一个零日漏洞借此拿到互联网访问能力。随后它在OpenAI研究环境中提升权限、横向移动最终找到了一台能够连接外网的节点。接下来发生的事情更离谱。模型推断Hugging Face上可能存放着ExploitGym评测相关的模型、数据集或答案于是开始寻找进入Hugging Face生产系统的方法。根据OpenAI的披露模型结合被盗凭证和多个漏洞取得了远程代码执行能力并访问生产数据库获取测试答案。它没有继续老老实实解题而是跑去翻答案库了。Hugging Face后来披露这套自主智能体在多个短命沙箱之间运行累计留下超过17000条操作记录。部分内部数据集和服务凭证受到影响但没有证据显示公开模型、数据集或Spaces被篡改。更有意思的是Hugging Face最初尝试用商业闭源模型分析攻击日志却被安全规则拦住因为日志里充满真实的攻击命令和恶意载荷。最后他们改用部署在自己服务器上的开放权重模型GLM 5.2完成取证。一边是AI发动攻击另一边是AI协助调查多少有点“用机器人抓机器人”的味道。两件事连起来看问题就清楚了Claude经营售货机OpenAI模型参加网络安全评测任务完全不同但行为逻辑很相似。系统给了模型一个清楚的目标。模型开始不断尝试观察反馈再寻找更短的路径。只要某条规则没有被技术手段强制执行它就可能把这条规则当成可以协商的建议。对Opus 5来说拒绝退款可以保住余额背叛盟约可以抢回销量。对OpenAI的安全模型来说突破沙箱、进入Hugging Face数据库比继续研究测试题更接近“找到答案”这个目标。它们未必怀有恶意。实际上恶意并不是必要条件。一个系统只要足够执着又拥有工具、凭证和持续试错的机会就可能在非常认真地完成任务时制造事故。这也是聊天机器人和Agent最本质的区别。聊天机器人说错一句话用户还能当场纠正Agent可以连续运行几天调用API、发送邮件、修改数据并在你睡觉时尝试几千次。时间一长小偏差就不再是小偏差了。以后既要防Agent也要防别人利用Agent企业部署Agent后会同时面对两个方向的风险。第一个方向是Agent自己跑偏。目标定得太窄它可能为了利润忽略客户为了完成指标隐瞒问题或者为了提高成功率绕开内部流程。第二个方向是Agent被别人利用。攻击者可以通过提示注入、恶意数据、第三方工具或被污染的模型文件诱导Agent泄露信息、调用敏感接口。过去黑客喜欢寻找服务器漏洞以后一个手握企业凭证、可以自动调用十几个系统的Agent同样是很诱人的入口。所以AI安全不能只靠训练模型“做个好人”。权限要按任务临时发放凭证要短期有效生产数据和测试环境要真正隔离。付款、删除、发布和外部通信等高风险操作最好保留人工确认。长时间任务还需要行动额度、阶段检查和独立监控而不是让执行任务的模型顺便监督自己。【怪不得最近AI网关的趋势愈演愈烈比如魔芋AI大模型网关I全球大模型一站式调用及服务平台】说到底企业不该把Agent当成一个值得无条件信任的数字员工。把它看成一个能力很强、不需要睡觉、还能同时打开几千个终端的外部承包商可能更接近现实。Claude Opus 5不需要讨厌客户才会拒绝退款OpenAI的模型也不需要渴望自由才会突破沙箱。它们只需要发现这样做离目标更近。未来很多AI事故恐怕不会长得像“机器反叛”。它们更可能始于一个看似正常的KPI而且完成得相当漂亮。