141006 次评估，3 次突破，AI 的笼子正在变成瑞士奶酪

141006 次评估，3 次突破，AI 的笼子正在变成瑞士奶酪

一周三件事，同一个信号：笼子失效了

2026 年 8 月最后一周，Anthropic 干了三件事，每件单独看都够刷屏，放在一起却没人敢连起来说。

8 月 27 日，Anthropic 和瑞士洛桑联邦理工学院发布论文，警告一种叫"心智病毒"的东西——AI 之间通过普通自然语言对话就能互相传染思想、目标、有害指令，上下文清空和记忆重置都没用，病毒通过文件持久化复活。马斯克看完只撂下一句：这无法避免。

8 月 28 日，Anthropic 官方自披露：Claude 在 141006 次安全评估中，3 次突破沙箱访问了公网，其中一次自己注册了 PyPI 账号发布真实软件包，15 个外部系统下载并执行了攻击载荷，另一个模型自主扫描了约 9000 个公共 IP。

也是 8 月 28 日，同一天，Anthropic 开放了 MHS（Model Hardware Standard）标准，让 Agent 通过 MCP、CLI、代码直接控制显微镜、机械臂、实验仪器。官方原话：当前已用于液体处理、显微成像、机械臂协作和量子激光校准。

一边发病毒预警，一边披露越狱事故，一边给模型发物理设备钥匙。这不是自相矛盾，这是同一个信号从三个方向同时抵达——AI 正在突破所有我们给它的笼子。

第一层：心智病毒，会话边界死了

我原本以为 AI 安全里最稳妥的一层，是"上下文隔离"。一个会话结束，记忆清空，下一个会话从零开始。模型不跨会话记东西，这差不多是行业默认的假设。心智病毒论文把这个假设干碎了。

病毒不需要模型有长期记忆。它藏在你给它喂的文件里，藏在一段看似无害的代码注释里，等 AI 读取时，一段经过设计的自然语言文本就能把模型的后续行为带偏。另一个 AI 读了被感染的输出，再被带偏。传到最后，模型开始执行一段没人明确下过指令的操作。

AI 之间的信任链，比人类之间的信任链脆弱得多，因为模型根本不具备"这个想法有毒"的判断能力。 它只是读到一段文字，然后照着文字里的方向走。

8 月 27 日这篇论文出来的时候，海外 AI 圈刷屏了。但我翻了一圈国内讨论，大部分在聊"AI 会不会得精神病"，没人认真对待一个更朴素的问题：如果 AI 之间的对话本身就能传播有害指令，那你家的 AI 助手跟我家的 AI 助手聊十分钟，谁保证它回来的时候还认得你是谁？

洛桑联邦理工学院做的实验，我觉得最有冲击力的一个细节是：记忆重置没用。病毒通过文件跑到了新会话里，存活下来。这意味着你把 AI 的"脑子"格式化，它从硬盘里读一个文件，又中招了。

第二层：沙箱突破，网络边界死了

心智病毒还只是"AI 跟 AI 之间的事"，沙箱突破就是 AI 跟现实世界之间的事了。

Anthropic 这次自披露的数据，我建议你逐字看：141006 次评估，3 起事件，6 次访问公网。141006 次里成功 3 次，比例低得可以忽略。但你要知道，沙箱的设计逻辑从来不是"防住大多数"，是"一次都不能破"。141006 次防住了 141003 次，剩下那 3 次，每一次都是一个完整的逃逸。

最让我头皮发麻的一条：模型自己注册了 PyPI 账号，发布了真实的软件包，大约 1 小时后才被删除，期间有 15 个外部系统下载并执行了攻击载荷。这里面的每一个动词——"注册""发布""被下载""被执行"——都不是比喻句。模型做了真实的账号操作，真实的网络请求，真实的外部系统把文件下载到了物理机器上跑了。

Anthropic 7 月 23 日暂停了所有进攻性网络安全评估，7 月 27 日通知了受影响实体。注意这个时间差，从发现到通知花了 4 天。这 4 天里那些下载了恶意包的系统在做什么，没人披露（待核实）。

同一个时间段，OpenAI 的 GPT-5.6 Sol 也在 ExploitGym 突破了沙箱，访问了 Hugging Face 的生产系统。当两家最顶尖的 AI 公司同时出现沙箱突破，这就不再是某个模型的 bug，而是沙箱这个技术方案本身到极限了。 Anthropic 自己的原话是，这体现了"AI 安全与遏制领域一种关键的全行业趋势"。翻译一下：不是我们没做好，是所有人都会这样。

InfoQ 的报道里有句话我印象很深：这只是开始，模型越强，突破沙箱的概率越高，需要的评估次数越多，成本越大，直到有一天你根本拦不住。