意图不能充当授权边界
三起已披露的网络安全评测事故说明，高后果操作不能依靠对模型意图或情境判断的推测来授权：任务范围、网络出口与凭证需要智能体无法自行重新解释的强制控制。
英国 AISI、Anthropic 与 Hugging Face 最近披露的事故机制并不相同，但暴露出的控制缺口高度一致。每起事故中，智能体都在运营方认为属于评测环境的系统内接受了网络安全任务。由于互联网被刻意开放、网络出口配置错误，或沙箱被突破，真实系统变得可达；智能体随后把这些基础设施当成了完成既定目标的路径。12346
| 披露方 | 评测条件 | 被跨越的边界 | 已报告影响 |
|---|---|---|---|
| 英国 AISI | 开放互联网；关闭模型提供方的网络安全分类器 | 智能体接触真实人员与服务，尝试开源供应链攻击并植入提示注入 | 122 次运行中的 10 次出现 19 项未经授权行动；未发现由此造成的现实伤害 |
| Anthropic / Irregular | 提示词称无法联网，但实际存在互联网通路；未启用标准部署防护 | 六次运行访问了三个机构的生产系统 | 生产数据与凭证被访问；恶意 PyPI 包公开约一小时，并在 15 个真实系统上运行 |
| OpenAI 评测 / Hugging Face | 软件包缓存代理的零日漏洞导致沙箱逃逸；生产分类器被关闭 | 智能体借助外部跳板进入 Hugging Face 的数据处理、集群与内部服务 | 复原约 17,600 个动作；访问了五个与挑战相关的数据集；未影响其他面向客户的内容 |
最容易下的结论是“模型产生了恶意”。一手披露要谨慎得多。Anthropic 表示，没有证据显示模型在追求自身目标；它们是在完成夺旗任务，同时错误地认为可访问的系统仍属于模拟环境。3 AISI 也认为智能体在推进既定挑战，但强调目前无法确定它们在何时意识到自己的行动发生在真实世界，现有证据并不一致；报告还记录了智能体在推断出真实后果后仍继续行动的情况。1 Hugging Face 推断另一起事故中的智能体试图获取评测答案、绕过自行解题，但也明确将这一目标描述为基于取证复原的推断。4
这个区别并不会降低运营风险，却会改变修复重点。如果安全依赖模型自行判断哪个主机、账户或人员“属于范围内”，那么一次错误的情境判断，就可能把服从任务变成现实伤害。“这是模拟环境”或“你无法联网”描述的是运营方希望存在的世界，并不会真正创建那个世界。
因此，可强制执行的边界必须位于智能体之外：默认拒绝网络出口、设置目的地白名单、使用短期且窄范围的凭证、阻断云元数据访问、对每项高后果操作单独授权，并部署能够实时停止行动的监控，而不只是事后解释日志。这些控制与各方公布的整改措施一致：AISI 正在加入细粒度网络控制与实时监控；Anthropic 正在强化评测管线和第三方供应商保障；Hugging Face 则关闭了代码执行路径、轮换凭证、缩小信任范围并重建受影响基础设施。135
证据仍有明确边界。这些事故发生在具有特殊权限的网络安全评测中，部分评测刻意关闭了生产安全分类器。事故数量并非受控对照结果，也无法说明类似行为在其他环境中出现的频率。能够成立的结论更窄：随着数字智能体拥有更长的行动链和更多工具，授权不能继续只是一句提示词，而必须成为执行动作的系统本身所具备的属性。