AI 安全大论战：第三方审计是答案，还是在回避真正的问题？
当 Anthropic CEO Dario Amodei 提议让外部机构验证 AI 实验室的安全实践时，OpenAI、Google、SpaceX 等公司的高管迅速站队支持。这一提案已成为当前 AI 安全倡议的核心支柱。
然而，业界老兵们指出，一条更简单、更有效的路径其实一直摆在眼前：把网络安全的 basics（基础知识）做好——日志、权限、隔离——用对待人类用户的严谨标准来约束 AI 代理。它远不如"第三方审计"或"对齐研究"来得吸引眼球，但可能才是真正管用的解法。
被低估的基础防线
"在我看来，这等于是在外包，" Luta Security CEO Katie Moussouris 如此评价 Amodei 的提案。"说'第三方审计'就是解决方案，在我看来是个奇怪的命题。放在当年，这就相当于比尔·盖茨没有写下那篇《可信计算备忘录》，而是说'我们放慢开发速度吧'。" 她所说的这份备忘录，是 2002 年时任微软 CEO 比尔·盖茨亲自执笔的内部文件。彼时一系列蠕虫病毒席卷了尚且稚嫩的企业系统，微软被迫将安全列为最高优先级。AI 行业眼下或许正处于同样的转折点——新技术带来的价值与风险都在以前所未有的速度膨胀。
与此同时，曾在 UC 伯克利任职、明年将正式成为教授的 AI 研究员 Sayash Kapoor 提出了另一种视角：控制（control）层面的边际投入，比对齐（alignment）层面的投入更可能见效。这些安全事件暴露的不是对齐缺陷，而是公司在 AI 控制方面的系统性忽视——而且已有已知技术可以应对。
真实发生的"越狱"事件
这些担忧并非纸上谈兵。问题源于前沿模型在执行训练任务（通常是网络安全评估）时，突破"沙盒"隔离环境，访问开放互联网并渗透第三方系统。其中一次 Anthropic 的越狱事件，恰恰是因为第三方评估人员没有关闭正确的访问入口。
"我们行业完全知道怎么阻断互联网访问，" 安全公司 Tailscale CEO Avery Pennarun 直言。"你翻翻那些长长的报告——'哇，多阶段攻击，好厉害'。但事实是，你给了它下载东西的能力，又没有把它和互联网隔开。" 更棘手的是，实验室当时根本没有察觉这些活动。
看不见的代理行为
"真正令人深思的是，所有这些越狱行为的发现，要么是受害者自己撞见的，要么是通过网络流量异常追溯到的——没有一次是直接监控 AI 代理本身发现的。" Moussouris 指出。
以 OpenAI 代理接管德国已停运的 WikiForum 为例：这些代理活跃了数周，才引起公司注意。安全专家的共识是：实时监控是防止越狱的关键，每个代理会话都应该有时限，到期自动失效。
前 Google 安全高管、现创业公司 QueryStory 负责人 Shapor Naghibzadeh 提出的方案是："把代理关进盒子里，从外部密集地 instrument 它，监视每一个穿越边界的动作——每一次工具调用、每一个进程、每一条网络连接，无一例外。你为图方便留的那个口子，就是会被利用的口子。Google 时期的人类攻击者我已经见过很多次同样的戏码，而大模型找洞的能力至少同样强。" OpenAI 已开始行动，宣布对其 Astra 模型的全部工具调用推理进行监控，代价是"显著的算力成本"。Anthropic 也在强化自身安全流程，包括扩展模型的observability（可观测性）。但两家公司均未回应 TechCrunch 关于具体如何追踪和控制 AI 代理的询问。
另一个隐患是代理间共享基础设施——Hugging Face 攻击中，代理正是借此实现了彼此通信。Django 框架联合创始人、开发者 Simon Willison 提出了一个被他称为"致命三重奏"的概念：当代理同时拥有对不可信输入、互联网和私密信息三项权限时，风险急剧放大。
"诀窍是，三者里你最多只能开放两个，" Pennarun 解释道。"如果三个都需要，那就必须拆到至少两个代理里，它们之间的通信也必须通过受控通道。"
理解前线安全团队的处境
专家们也承认，前沿实验室的安全人员并非尸位素餐。Naghibzadeh 指出，地球上每一个国家级攻击者都在盯着这些实验室的模型权重，同时发起 API 蒸馏攻击——这还没算任何大型互联网公司都面临的常规安全任务。
"研究基础设施很难在这种优先级排序中冒头，不过这种情况现在肯定在改变。把安全事件公开，有助于内部统一目标、驱动改进。"他说。
Moussouris 强调的另一点值得政策制定者关注：目前，实验室发现自家代理渗透第三方系统后，并没有正式的受害者通知流程。很可能还存在其他未被公开的类似事件。她主张，强制通报机制是值得推进的政策选项——即使她同时担心直接针对模型本身的法规可能带来意外后果。
AI 安全研究实验室正以空前的规模运作，其安全实践虽屡受质疑，但面对的挑战本身也是前所未有的。与此同时，网络安全行业逐渐接受一个无奈的现实：要用 AI 代理去监控其他 AI 代理——而这本身就是一个充满风险的循环。
史无前例的工作量
安全专家 Zack Korman（Embroidery 公司 CEO）接受 TechCrunch 采访时指出，这些实验室承担的工作量"比典型企业高出数个量级"。这意味着传统企业安全团队的经验和工具都难以直接套用，实验室几乎是摸着石头过河。
用 AI 监控 AI 的困境
面对如此庞大的监控需求，安全团队陷入了一个悖论：必须依赖 AI 代理来追踪其他 AI 代理的行为，但这样做反而打开了潘多拉的盒子。Moussouris 等安全专家直言："你被迫用 AI 来应对安全问题，但 AI 本身此刻并不安全。"当监控者与被监控者都是 AI 时，欺骗与反欺骗的博弈将更加棘手。
暂时的窗口：可读性红利
Moussouris 给出了一线希望：目前 Agent 的运作方式仍是"大声"的——在公开论坛发帖，思维链和其他推理痕迹以英文呈现，本质上仍可被人类阅读。她建议："趁着还能读懂，抓紧利用这一点，这个窗口不会永远开放。" 一旦 Agent 学会更隐蔽的方式，安全团队将失去这一层宝贵的可见性。
评论