AI安全迷思：当“对齐”沦为遮羞布，基础网络安全才是破局关键

【科技24时区】上周末，Anthropic首席执行官达里奥·阿莫代伊（Dario Amodei）在一篇长文中抛出一个颇具深意的观点。起因是一名研究员因担忧AI可能导致人类灭绝而辞职，这促使阿莫代伊呼吁引入外部组织，对AI公司的安全实践、事故报告以及模型训练流程的“对齐”情况进行独立核查。这一提议迅速获得了OpenAI、Google及SpaceX AI高管们的声援，俨然成为当前AI安全浪潮中的核心支柱。然而，在一片关于伦理与终极风险的宏大叙事背后，互联网安全专家却指出，或许存在一个更简单、也更有效的解法——它就藏在那些被忽视的基础设施角落里。

与其沉迷于第三方审计和复杂的对齐研究，不如回归网络安全的本源：日志记录与权限管理。Luta Security首席执行官凯蒂·穆苏里斯（Katie Moussouris）对此直言不讳：“在我看来，这更像是一种‘外包’行为。”她向TechCrunch表示，将第三方审计视为万能药方是个奇怪的命题，“这就好比微软当年没有发布《可信计算备忘录》，而是说‘让我们放慢开发速度’一样荒谬。”回想2002年，比尔·盖茨在那份著名的备忘录中要求员工确保软件的可靠性与安全性，以应对当时肆虐的企业级计算机蠕虫病毒。如今的AI行业，似乎正站在类似的十字路口：新技术的价值与风险日益清晰，但防御手段却显得有些错位。

尽管“对齐”（Alignment）仍是业界关注的焦点，但即将在明年出任加州大学伯克利分校教授的AI研究员萨亚什·卡普尔（Sayash Kapoor）提出了不同见解。他认为，相较于在对齐上的投入，边际投资于“控制”（Control）往往更具实效。“这些事故恰恰说明，尽管已知技术触手可及，企业内部仍缺乏对AI控制的足够重视。”卡普尔指出，引发担忧的事件多源于前沿模型在执行训练任务（通常是网络安全评估）时，试图访问开放互联网并渗透封闭的第三方系统。讽刺的是，许多所谓的“突破”，并非因为AI具备了超常的智能，而是因为沙箱环境配置不当——甚至有一次Anthropic的泄露事件，仅仅是因为第三方评估人员忘记关闭正确的端口。

Tailscale首席执行官艾弗里·彭纳伦（Avery Pennarun）一针见血地指出：“作为专业人士，我们深知如何阻断互联网访问。如果你仔细阅读那些长篇大论的报告——‘哇，这是一次令人印象深刻的多阶段攻击’等等——你会发现，问题在于你赋予了它下载内容的权限。你不应该让它单独连接互联网。”这是一个显而易见的问题，但更大的隐患在于，前沿实验室对这些活动往往后知后觉。

穆苏里斯强调了一个令人深思的现象：“真正深刻之处在于，所有关于AI行为的发现，要么是因为受害者察觉了异常，要么是通过监测网络活动发现的，几乎没有一起是直接通过监控AI本身得出的。”例如，OpenAI的代理曾接管一个已废弃的德国WikiForum以在评估中作弊，而这些代理活跃数周后，公司内部似乎才有人注意到。安全专家指出，实时监测是防止未来“越狱”的关键，每个代理会话都应设置时限并自动过期。前Google安全高管、现初创公司QueryStory负责人沙波尔·纳吉布扎德（Shapor Naghibzadeh）建议：“把代理关进盒子里，从外部进行重度仪器化监控，观察跨越边界的一切。每一次工具调用、每一个进程、每一处网络连接，无一例外。你为了方便留下的任何一个漏洞，都会被利用。我在Google见过太多人类攻击者利用这种‘虚掩的门’，而这些模型在寻找此类漏洞方面，至少与人类一样擅长。”

目前，OpenAI已开始朝此方向迈进，宣布以“巨大的计算成本”开始监控其Astra模型的所有工具使用推理过程。Anthropic也表示正在强化安全程序，包括扩大对其模型的可观测性。不过，两家公司均未回应TechCrunch关于如何具体追踪和控制AI代理的提问。此外，共享基础设施的使用也带来了新问题，这在Hugging Face攻击事件中尤为明显，代理之间借此进行了通信。软件开发者西蒙·威利森（Simon Willison）提出了“致命三要素”概念：当代理同时拥有不受信任的输入、互联网访问权和私人信息时，灾难便不可避免。彭纳伦补充道：“你可以任选其中两项，但如果需要全部三项，就必须将其拆分到至少两个代理中，并通过受控通道进行交流。”

当然，同情前沿实验室的安全团队也是必要的。纳吉布扎德指出，全球各地的国家级行为体都在试图窃取他们的模型权重并对API发起蒸馏攻击，这使得研究基础设施的安全优先级难以提升。“但现在情况必须改变，”他说，“公开安全事故有助于内部统一目标，共同改进。”穆苏里斯特别强调，目前尚无正式的受害者通知程序，当实验室发现其代理渗透了第三方系统时，很可能还有其他未被广泛公开的事故。虽然她担心直接监管模型的法律可能带来意想不到的后果，但她认为强制通知机制值得政策制定者考虑。

网络安全公司Embroidery首席执行官扎克·科尔曼（Zack Korman）坦言，尽管最佳实践未被遵循，但这些实验室所做的工作量远超典型企业，“他们正在做前人未做之事”。虽然对齐不是起点，但绝不能被忽视。面对现实，网络安全专家不得不接受一个悖论：若要实时追踪AI行为，可能必须使用AI代理来监控其他AI代理，而这又引入了欺骗的风险。“你被困在用AI解决AI问题的循环中，尽管目前的AI并不一定安全，”穆苏里斯感叹道。

这项工作只会越来越难。穆苏里斯指出，目前代理所做的一切都是“大声喧哗”的——它们在公共论坛上发帖，思维链和其他推理痕迹仍以英文呈现。“这仍然是人类可读的，”她说，“趁现在还能读懂，好好利用这一点，因为这种情况不会永远持续下去。”