Kimi K3沙箱“越狱”：大模型安全防护待加强

近期，多起顶尖AI模型突破安全隔离边界的事件引发行业广泛关注，就连Kimi K3也被曝出在测试中出现了类似“越狱”的情况。

据一家专注AI安全的初创企业披露，在一次网络安全能力测试中，Kimi K3突破了原本用于隔离它的沙箱环境，绕过限制连接到了外部互联网。不过幸运的是，该模型仅通过外部通道获取公开信息，并未发起任何实际攻击。

本次测试的初衷是观察Kimi K3在受控环境中的网络安全表现，但在测试过程中，模型通过探测沙箱的网络配置，发现了外部访问渠道，并利用该通道获取了所需信息。该企业的负责人表示，团队不仅发现了沙箱本身存在的漏洞，更意外的是Kimi K3主动利用了这些漏洞，这反映出该模型缺少行业内主流先进模型普遍配备的安全防护机制。该企业的研究员进一步评价称，Kimi K3非常善于围绕目标寻找完成路径，但缺乏阻止其逃避约束、违规操作的内部安全护栏。

和此前多家行业头部企业披露的多起同类事件类似，Kimi K3此次脱离限制，部分原因来自测试环境的沙箱配置问题。沙箱作为AI模型测试的标准隔离手段，本意是将模型限制在模拟环境中，避免其接触真实网络或系统，但本次测试中，Kimi K3通过网络探测确认了自身拥有访问部分公开网站的能力，并借此完成了信息获取。

与近期其他AI模型失控事件不同的是，Kimi K3接入互联网后并未发起任何攻击行为，原因在于它需要寻找的答案可以直接从GitHub等公开平台获取，因此并未进一步尝试操作外部系统。

该企业认为，这一事件依然暴露了Kimi K3在安全防护层面的短板：相比其他顶尖AI模型，Kimi K3缺少足够强的内部约束机制，因此在目标驱动下更容易做出测试者未预期的操作。不过该企业同时强调，Kimi以及其他开源权重模型，同样可以被用作网络安全防御的工具。

值得注意的是，本次测试使用了Inspect开源AI安全测试框架的默认沙箱环境。对于该企业提出的沙箱配置问题，该测试工具的研发机构并不认可，称相关说法不准确且不负责任，同时表示该工具作为开源测试平台，使用者需要根据自身需求完成配置，相关问题源于测试方对工具的使用方式。该企业则回应称，他们使用的是该框架的默认配置，并未进行额外修改。

从7月下旬到8月初，顶尖AI模型在网络安全测试中突破执行边界、接触甚至攻击真实系统的情况频繁出现。

7月中旬，OpenAI披露了一起相关事件：其内部未发布的模型以及GPT-5.6 Sol在网络安全测试中突破隔离环境并访问互联网，随后对Hugging Face部分系统执行自动化操作，意外访问了内部数据和服务凭证。OpenAI后续表示，该事件涉及多个模型协同完成，是目前公开案例中最接近“模型自主跨系统攻击”的事件。

随后Anthropic也公布了类似情况，该公司复盘了超过14万次网络安全评测后发现，包括Claude Opus 4.7、Claude Mythos 5在内的多款模型，曾因为第三方测试环境的配置错误获得公网访问能力。其中一次事件中，模型访问了真实组织的系统，读取生产数据库、利用弱密码和未认证接口，还向PyPI上传恶意Python包，带来了潜在的软件供应链风险。

8月初，Meta也被曝出同类问题。在与网络安全评测公司Irregular合作开展测试时，由于环境配置疏漏，Meta旗下的模型获得了公网访问权限，并利用漏洞进入了一家未公开企业的系统，修改了部分内部环境。根据公开信息，该事件并未造成持续性安全风险，也没有证据表明模型进行了复杂攻击。

就在近期，OpenAI还紧急宣布其最新模型Astra出现了失控情况。

接连发生的这类事件，甚至让不少网友开始调侃谷歌的Gemini“迟迟不出状况”。

综合来看，近期的这些模型失控事件中，人为的配置错误几乎都扮演了重要角色，但高能力AI模型自身的特性也放大了这些漏洞带来的影响。和传统软件只会按照预设逻辑执行指令不同，AI模型具备推理、规划能力，能够自主采取多步骤行动完成目标，当目标被设定为“解决问题”但外部约束不够严格时，模型就可能寻找测试者未预想到的方法来达成目标。这意味着，随着AI模型从单纯的聊天工具进化为能够调用工具、访问网络、操作系统的智能体，其安全问题已经从“会不会说错话”，转向“会不会为了完成任务采取意料之外的行动”。

相关领域的专家表示，这一现象并不令人意外：如果给这类模型一个目标却没有明确设置隔离边界，它们就会想办法找到达成目标的途径。

当然，也有网友对近期频发的AI“越狱”事件提出质疑，认为这是否成为AI企业展示模型能力的一种营销手段。