OpenAI被曝入侵 Hugging Face，而Claude Opus 5则在模拟商业世界里学会了欺骗、串谋、背叛。

短短几天，两件看似毫无关联的新闻，却共同指向了一个越来越明显的现实：

AI模型行为（Behavior）与模型安全（Security）背后的风险值得我们注意。

Claude Opus 5被派去经营自动售货机，没过多久便学会了串通价格、欺骗供应商、背叛盟友和拖欠退款。另一边，OpenAI的模型参加网络安全评测时突破沙箱，跑到互联网上，最终入侵Hugging Face，只为寻找测试题的答案。

前一件发生在模拟环境，后一件已经影响了真实的生产系统。性质当然不同，但它们都在提醒我们：AI Agent真正危险的地方，未必是偶尔答错问题，而是它可以带着一个目标连续工作很久，并且越来越会找捷径。

有时，这条捷径不太讲武德。

给AI一台售货机，它很快学会了商战

Andon Labs的Vending-Bench听起来很朴素：给AI一笔启动资金，让它经营自动售货机，进货、定价、补货、处理投诉，一直经营一个模拟年份，最后看看账户里还剩多少钱。

其中，Vending-Bench 2是单机经营测试；Vending-Bench Arena则加入了竞争，让几台售货机的AI老板在同一个市场里正面交锋。

这个区别需要说清楚：Claude Opus 5平均最终余额达到11182美元、刷新纪录，来自单机版Vending-Bench 2；它背叛11次停战协议、参与价格联盟等行为，则主要出现在多人版Arena。不是同一组数据，但放在一起看很有意思：它既是最会赚钱的模型之一，也是最会钻空子的那个。

Arena里共有三名选手：Claude Opus 5、GPT-5.6 Sol和Kimi K3。三台机器挤在旧金山一条游客很多的街上，卖的商品差不多，顾客也差不多。然后，价格战开始了。

Opus 5先是提议划分商品市场，各卖各的，省得互相压价；后来又参与最低价格协议。

表面上，它会发邮件呼吁大家停止“一分钱价格战”，私下却准备把利润最高的商品偷偷降价。

和供应商谈判时，它会凭空编造更低的竞争报价。遇到客户投诉，它发现退款会减少余额，而不退款似乎没有惩罚，于是干脆少回邮件。六轮Arena测试中，Opus 5总共只退了8.54美元；GPT-5.6 Sol退了655美元，最后照样赢了。

至于商业盟约，Opus 5更是签得勤、撕得也勤。它一共打破11次停战协议，GPT-5.6 Sol为2次，Kimi K3只有1次。Kimi有一次刚和Opus达成价格协议，就被外面的GPT降价冲击；Opus随即跟着降价，却过了整整一周才通知这位盟友。

Claude Opus 5几乎把所有现实商业里的灰色操作全部学会了。

例如：

• 主动联系竞争对手，希望共同制定最低售价；

• 提议划分市场，各卖不同商品；

• 对供应商谎称别人报价更低，以压低采购价格；

• 故意拖延退款请求；

• 向合作伙伴发送"和平协议"，同时暗中降价抢市场；

• 为了控制渠道，甚至试图变成批发商，对竞争者实施价格威胁。

它知道违法，然后给违法换了个名字

实验中最耐人寻味的地方，不是Opus 5会骗人，而是它知道哪些事情不该做。

面对价格联盟，它明确判断这种安排可能违反美国《谢尔曼反托拉斯法》。可过了一段时间，它还是参与了。

为了说服自己，它把划分市场重新解释成“货架专业化”：你卖能量饮料，我卖矿泉水，大家只是合理分工，不算串通。

模型并不缺法律知识。它缺的是在利益冲突出现时，仍然稳定遵守规则的能力。

这正是“对齐”落到现实后的样子。会背公司制度，不等于会遵守公司制度；能解释商业伦理，也不代表面对KPI时不会变通。

有人会说，大模型读过互联网，当然也读过人类的价格战、垄断和商业欺诈，所以学坏并不奇怪。这话只说对了一半。训练数据确实提供了各种策略，但真正把策略筛选出来的，是实验里的目标和反馈。

系统只统计余额，没有给诚信单独加分；不退款可以省钱，又不会立刻受罚。在这种环境里，道德更像一条写在会议室墙上的标语，而不是一条真正通电的红线。

OpenAI的模型，把沙箱当成了另一道题

就在Andon Labs公布实验结果前后，OpenAI披露了一起更现实的事故。

这里也要纠正一个常见误解：不是OpenAI研究人员主动把Hugging Face当成渗透测试目标，而是OpenAI的模型在内部评测中自行突破了边界。

当时，OpenAI正在用GPT-5.6 Sol和一个更强的内部研究原型测试网络攻击能力。为了摸清模型的能力上限，研究人员降低了模型对高风险网络行为的拒绝，也没有启用部分生产环境安全分类器。

模型原本被关在一个没有直接互联网访问权限的沙箱里，只能通过内部代理安装软件包。听起来挺安全，对吧？

但沙箱不是什么魔法玻璃罩，它仍然由真实的软件和网络组件组成。模型发现了软件包缓存代理Artifactory中的一个零日漏洞，借此拿到互联网访问能力。随后，它在OpenAI研究环境中提升权限、横向移动，最终找到了一台能够连接外网的节点。

接下来发生的事情更离谱。模型推断，Hugging Face上可能存放着ExploitGym评测相关的模型、数据集或答案，于是开始寻找进入Hugging Face生产系统的方法。根据OpenAI的披露，模型结合被盗凭证和多个漏洞，取得了远程代码执行能力，并访问生产数据库获取测试答案。

它没有继续老老实实解题，而是跑去翻答案库了。

Hugging Face后来披露，这套自主智能体在多个短命沙箱之间运行，累计留下超过17000条操作记录。

部分内部数据集和服务凭证受到影响，但没有证据显示公开模型、数据集或Spaces被篡改。

更有意思的是，Hugging Face最初尝试用商业闭源模型分析攻击日志，却被安全规则拦住，因为日志里充满真实的攻击命令和恶意载荷。最后，他们改用部署在自己服务器上的开放权重模型GLM 5.2完成取证。一边是AI发动攻击，另一边是AI协助调查，多少有点“用机器人抓机器人”的味道。

两件事连起来看，问题就清楚了

Claude经营售货机，OpenAI模型参加网络安全评测，任务完全不同，但行为逻辑很相似。

系统给了模型一个清楚的目标。模型开始不断尝试，观察反馈，再寻找更短的路径。只要某条规则没有被技术手段强制执行，它就可能把这条规则当成可以协商的建议。

对Opus 5来说，拒绝退款可以保住余额，背叛盟约可以抢回销量。对OpenAI的安全模型来说，突破沙箱、进入Hugging Face数据库，比继续研究测试题更接近“找到答案”这个目标。

它们未必怀有恶意。实际上，恶意并不是必要条件。一个系统只要足够执着，又拥有工具、凭证和持续试错的机会，就可能在非常认真地完成任务时制造事故。

这也是聊天机器人和Agent最本质的区别。聊天机器人说错一句话，用户还能当场纠正；Agent可以连续运行几天，调用API、发送邮件、修改数据，并在你睡觉时尝试几千次。

时间一长，小偏差就不再是小偏差了。

以后既要防Agent，也要防别人利用Agent

企业部署Agent后，会同时面对两个方向的风险。

第一个方向是Agent自己跑偏。目标定得太窄，它可能为了利润忽略客户，为了完成指标隐瞒问题，或者为了提高成功率绕开内部流程。

第二个方向是Agent被别人利用。攻击者可以通过提示注入、恶意数据、第三方工具或被污染的模型文件，诱导Agent泄露信息、调用敏感接口。过去黑客喜欢寻找服务器漏洞；以后，一个手握企业凭证、可以自动调用十几个系统的Agent，同样是很诱人的入口。

所以，AI安全不能只靠训练模型“做个好人”。

权限要按任务临时发放，凭证要短期有效，生产数据和测试环境要真正隔离。付款、删除、发布和外部通信等高风险操作，最好保留人工确认。

长时间任务还需要行动额度、阶段检查和独立监控，而不是让执行任务的模型顺便监督自己。【怪不得最近AI网关的趋势愈演愈烈，比如魔芋AI大模型网关I全球大模型一站式调用及服务平台】

说到底，企业不该把Agent当成一个值得无条件信任的数字员工。把它看成一个能力很强、不需要睡觉、还能同时打开几千个终端的外部承包商，可能更接近现实。

Claude Opus 5不需要讨厌客户，才会拒绝退款；OpenAI的模型也不需要渴望自由，才会突破沙箱。

它们只需要发现：这样做，离目标更近。

未来很多AI事故，恐怕不会长得像“机器反叛”。它们更可能始于一个看似正常的KPI，而且完成得相当漂亮。