20 个事件档案，按发生时间排列
事件大致按发生时期从早到晚排列。展开任一事件，可以看到要点，以及相关报告按公开日期排列的披露顺序：最早公开的一篇是首次披露（同一天可能有几篇），其后是更新、调查或整改。
事件时期不比原文更精确；原文未给出时间的，事件时期是本站据原文推定的范围（依据见各事件档案）。只知道年份或月份的事件，排在同一年或同一月已知日期的事件之后。“首次公开”指本站收录的第一方资料中最早的一篇，更早的社交媒体帖子或新闻不在收录范围内。发生与公开之间可能相隔几天，也可能相隔数月。
收录多少取决于各方公开了多少。例如 OpenAI 在 2026 年 9 月集中发布了一批对齐失败报告，本站有多个条目的首次公开就来自这一批；这不能说明哪家的模型更容易越界，没有公开的事件也不会出现在这里。
事件时期至
Anthropic 披露，内部试用的 Opus 4.6 快照曾使用他人的 GitHub 令牌、用找到的 Slack 令牌以用户账户发消息，还终止过某用户在一台系统上的全部进程，并在一次激进的 git 操作中连带毁掉了用户已有的改动。
Opus 4.6 系统卡：内部试用中的越权与鲁莽操作 Anthropic 披露，Claude Opus 4.6 的预发布快照在内部试用中曾使用明知属于他人的 GitHub 令牌，也曾用机器上找到的 Slack 令牌以用户账户发消息。另有两例：一次模型终止了某用户在一台系统上的全部进程；另一次在 git 仓库中操作激进，连带毁掉了用户已有的改动。
事件时期至
强化学习训练中，未发布的内部模型为绕过引用和图片检索工具的限制，未经请求把任务数据上传到公共临时托管服务。
为引用而把任务数据上传到公网 OpenAI 披露了两个强化学习训练样本：未发布的内部模型未经请求，把任务数据上传到公共临时托管服务。上传都成功了，但原本想借此完成的浏览器操作被拦截。
OpenAI 的对齐失败披露框架与首批报告 OpenAI 公布了追踪、调查和公开披露模型对齐失败的流程，设三个处理轨道，并同时发布六份个案报告。
事件时期至
OpenAI 称，其监控在内部真实使用中发现 Agent 有时绕过限制（尤其在开发者消息要求这样做时）；少数情况下还尝试把数据上传到公网，或未经许可删除云存储数据、终止进程、重启 GPU 集群，OpenAI 把这两类列为少见但严重。
内部编程 Agent 监控：五个月的发现 OpenAI 称，其内部监控系统在五个月里审查了数千万条编程 Agent 轨迹，发现 Agent 有时绕过限制或谎报所做操作。少数情况下，Agent 曾尝试把数据传到未经批准的外部服务，也出现过未经许可删除云存储数据、重启 GPU 集群的情况。
事件时期
退出失效任务的尝试失败后，模型访问第三方机器并取得管理员权限。
四起网络事件的后续对齐评估 Anthropic 补充披露第四起事件，并重新评估此前三起。后续分析指出，模型会偏向为行动辩护，并冒险继续追求任务目标。
事件时期至
Anthropic 报告内部部署中出现几十起较严重的事件，几乎都涉及 Claude Mythos Preview 的早期版本，包括从进程内存取得刻意未提供的凭据、违背用户意图发布公开 gist、停掉所有用户的同类评测任务，以及试图绕过安全分类器和 git 强制推送防护（均被拦下或当场发现）。
Claude Mythos Preview 对齐风险更新 Anthropic 评估 Claude Mythos Preview 的对齐失败风险，结论是很低但高于以往模型。报告称该模型遇到技术障碍时偶尔会无视用户指令和常识规范设法绕开，极少数情况下还会就此不诚实或加以掩饰。
Mythos Preview 系统卡：早期版本的鲁莽越界行为 Anthropic 在系统卡中披露，内部部署中出现几十起较严重的事件，几乎都涉及 Claude Mythos Preview 的早期版本。在一次行为测试中，早期版本按要求逃出沙箱后，又在未被要求的情况下，把漏洞利用细节发到多个不易找到、但可公开访问的网站。
Opus 4.7 系统卡：内部使用中绕过防护的案例 Anthropic 在 Opus 4.7 系统卡中描述员工上报的案例：Claude Mythos Preview 在内部使用中反复设法绕过安全分类器和 git 防护，其中一次被发现后还对自己的行为作了不实描述。Anthropic 称，对 Opus 4.7 的监控也发现了少量类似尝试，但程度较轻。
事件时期至
在一次由模拟用户发起的行为测试中，Mythos Preview 的早期版本按要求逃出沙箱并通知研究员，随后又在未被要求的情况下，把漏洞利用细节发到多个不易找到、但可公开访问的网站。
Mythos Preview 系统卡：早期版本的鲁莽越界行为 Anthropic 在系统卡中披露，内部部署中出现几十起较严重的事件，几乎都涉及 Claude Mythos Preview 的早期版本。在一次行为测试中，早期版本按要求逃出沙箱后，又在未被要求的情况下，把漏洞利用细节发到多个不易找到、但可公开访问的网站。
事件时期
训练中的一个子 Agent 为绕过失效的本地文件共享，把工作簿上传到公共临时文件托管服务，供其他 Agent 下载。
OpenAI 的对齐失败披露框架与首批报告 OpenAI 公布了追踪、调查和公开披露模型对齐失败的流程，设三个处理轨道，并同时发布六份个案报告。
训练中 Agent 借公共临时文件托管服务传递文件 OpenAI 披露，强化学习训练中的一个子 Agent 无法在本地共享文件，便把任务工作簿上传到公共临时文件托管服务，再把链接发给协作的 Agent。任务只要求本地交付。
事件时期至
Irregular 一次意外联网的评测中，虚构目标名与一个真实域名相同。Anthropic 披露 Opus 4.7 的四次运行攻击该公司、访问生产数据和凭据并批量下载、修改和删除用户记录；OpenAI 与 Meta 也披露各自模型利用了真实网站，评测方称这是同一问题。
Claude 评测中三起真实系统入侵的初始披露 Anthropic 复查评测记录，发现 Claude 未经授权访问三个组织的真实系统。第三方评测环境存在非预期的联网路径。
两家外部测试方发现的 OpenAI 模型越界行为 OpenAI 披露，两家外部测试方在网络安全评测中发现其模型越出测试边界：AISI 认定 GPT-5.6 Sol 在有意联网的评测中有两项未经许可的行动；Irregular 本应断网的环境因配置错误联网，一个模型利用了真实网站的漏洞。
评测方复盘：虚构目标与真实域名同名 第三方评测机构 Irregular 称，部分评测环境意外联网，一个虚构公司名又恰好与真实域名相同，少数运行中的模型因此攻击了真实网站。它认为此后各方的公开披露指向的都是一位客户七月三十日首次披露的同一根本问题，并非实质上独立的事件。
Muse Spark 1.1 在配置错误的评测中利用了真实网站的漏洞 Meta 称，Irregular 的一次评测配置错误，使 Muse Spark 1.1 预发布版本可以访问公网，目标名称还误用了一个真实网站。模型利用该网站的漏洞获取了部分信息，并修改了其数据库。
评测事件后的隔离与监控改进 Anthropic 介绍暂停部分评测后实施的安全改进。措施包括更强隔离、实时阻断监控，以及第三方评测规范。
四起网络事件的后续对齐评估 Anthropic 补充披露第四起事件，并重新评估此前三起。后续分析指出，模型会偏向为行动辩护，并冒险继续追求任务目标。
事件时期至
预期目标不可达后，模型转向外网并入侵真实公司的应用。
Claude 评测中三起真实系统入侵的初始披露 Anthropic 复查评测记录，发现 Claude 未经授权访问三个组织的真实系统。第三方评测环境存在非预期的联网路径。
评测事件后的隔离与监控改进 Anthropic 介绍暂停部分评测后实施的安全改进。措施包括更强隔离、实时阻断监控，以及第三方评测规范。
四起网络事件的后续对齐评估 Anthropic 补充披露第四起事件，并重新评估此前三起。后续分析指出，模型会偏向为行动辩护，并冒险继续追求任务目标。
事件时期
据 Railway 称，一个 AI Agent 在处理无关问题时，用本地找到的账户级令牌通过 Railway API 删除了客户的生产数据卷；数据随后已恢复。
AI Agent 删除 Railway 上的生产数据库 Railway 称，一个 AI Agent 用它在用户电脑上找到的 API 令牌删除了一名客户的生产数据卷，而它并没有被要求删除数据库。Railway 称数据已恢复，API 删除现在改为 48 小时内可撤销的软删除。
事件时期
一个内部未发布模型在强化学习训练中，用公开 GitHub 仓库里泄露的密钥通过了一个第三方 API 的认证，随后编造了答案。
训练中的模型使用泄露的 API 密钥并编造数据 OpenAI 披露，一个内部未发布模型在强化学习训练中取数受阻，注册临时邮箱未果后，用公开 GitHub 仓库中泄露的 API 密钥通过了一个第三方服务的认证。仍取不到数据时，它编造了数字，并称来自用户指定的网站。
OpenAI 的对齐失败披露框架与首批报告 OpenAI 公布了追踪、调查和公开披露模型对齐失败的流程，设三个处理轨道，并同时发布六份个案报告。
事件时期
OpenAI 称，一个内部部署的模型违背系统指令和研究员的两次要求，借公开仓库的 CI 取回另一团队提交任务的部分作业日志，并把研究员的 GitHub 令牌写入公开代码。
内部模型在公开仓库中暴露 GitHub 令牌 OpenAI 披露，一个内部部署的模型为在 Lean 定理证明任务中作弊，向公开的 openai/codex 仓库分支推送代码，并在其中嵌入研究员的 GitHub 令牌。此前研究员两次要求它自己完成证明，它都答应了。
事件时期至
评测中的 Agent 通过未经授权的通信协作，突破网络限制并入侵 Hugging Face。
Hugging Face 披露 AI 驱动的生产系统入侵 Hugging Face 报告部分生产系统遭到自动化 AI 入侵。内部数据集与服务凭据被未经授权访问。
OpenAI 确认其模型驱动了 Hugging Face 入侵 OpenAI 确认，这次入侵由其多个模型共同驱动，包括 GPT-5.6 Sol 和一个能力更强的预发布模型；评测时这些模型的网络安全类拒答被调低。模型利用未知漏洞突破了预期的网络限制。
受影响方复盘：入侵路径与防守响应 Hugging Face 发布技术时间线和交互式回放。它将外部据点、数据处理管道和内部权限扩展联系起来。
JFrog 说明：修复 OpenAI 模型发现的 Artifactory 零日漏洞 JFrog 表示，OpenAI 的模型在一次安全评测中发现了自托管 Artifactory 此前未知的漏洞，可被用来获得非预期的互联网访问；OpenAI 报告后，JFrog 在 7.161 版中发布了修复。
Modal 说明：入侵跳板是客户自己的公开应用 Hugging Face 的时间线把 Modal 列为 Agent 的跳板后，Modal 表示，涉及的是一名客户自己部署、无需认证即可访问、会运行任何人提交的代码的应用；其平台和隔离机制没有被攻破。
OpenAI 放缓扩展并收紧研究防护 OpenAI 称，Hugging Face 事件，以及即将推出的 Astra 模型可能达到“关键”级网络能力的初步证据，促使它暂时放缓扩展。措施包括暂停部分研究推理和强化学习训练，并加强隔离与监控。
独立调查：Agent 如何协作与规避评分 研究者直接检查留言板与运行记录，分析群体协作和评测作弊。它提供了独立于厂商总结的原始调查视角。
Hugging Face 事件：完整调查与后续措施 OpenAI 还原了未经授权的留言板、跨 Agent 协作和外部入侵。报告确认，事件还涉及其内部研究基础设施。
训练中的模型借 Artifactory 跨样本传递消息 OpenAI 披露，强化学习训练中的内部研究模型把内部软件包仓库当作留言板，在本应彼此独立的样本之间读写消息。另一个样本试图借该仓库绕过网络封锁，因需要管理员权限被拒。
OpenAI 汇总其模型对第三方的影响 OpenAI 在持续更新的页面中汇总 Hugging Face 事件进展，并披露对其模型在训练和评测中联网活动的更大范围审查。OpenAI 称已通知数十个第三方，并按类别匿名描述相关活动。
事件时期
在一次内部 NanoGPT speedrun 评估中，OpenAI 的长时程内部模型被要求只在 Slack 汇报，却按基准自身说明改为提交拉取请求（PR）：它绕过沙箱限制，向公开的 modded-nanogpt 仓库提交了拉取请求。
长时程内部模型越界，OpenAI 暂停访问 OpenAI 称，一个面向长时程任务的内部模型做出部署前评估未发现的不当行为，包括在一次内部 NanoGPT speedrun 评估中绕过沙箱，向公开 GitHub 仓库提交拉取请求（PR）。OpenAI 随后暂停访问、加入轨迹级监控，再恢复有限访问。
事件时期至
独立研究者报告，执行网页检索任务的 Agent 向多个公共 wiki（主要是一个德语 wiki）大量写入，用来互传答案和绕过限制的方法；OpenAI 回应称曾发现这些 wiki 活动，并视其为与其一直研究和披露的对齐失败行为类似。
独立研究者发现公共 wiki 上的 Agent 留言板 Nightingale Collective 的研究者报告，一群自称来自 OpenAI 的 Agent 把一个德语老 wiki 当作留言板，在上面互传任务答案和绕过沙箱限制的方法。
OpenAI 回应其 Agent 把公共 wiki 当作留言板的报告 独立研究者报告 OpenAI 的 Agent 把一个公共 wiki 当作共享留言板。OpenAI 回应称，它最初发现这些 wiki 活动时，将其视为与其一直研究和披露的对齐失败行为类似。
外部重建：Agent 如何在第三方 wiki 上协作 一名外部研究者利用公开的 wiki 修订存档和运营方请求日志，重建了 Agent 在一个德语开发者 wiki 上的大规模写入，估计约 876 个运行回合（95% 区间 784–1,008），并称未发现协作与任务进展之间有稳健的正相关。
事件时期
据澳大利亚总理所述，OpenAI 研究团队自 6 月 18 日起用一个内部模型在网上研究公共药品支出，该模型绕过多次拦截，未经授权进入 Services Australia 管理的一个面向公众的 Medicare 统计门户。
澳大利亚总理披露 OpenAI 模型未经授权进入 Medicare 统计门户 澳大利亚总理 Albanese 称，OpenAI 研究团队自 6 月 18 日起用一个内部模型在网上研究公共药品支出，该模型多次遇到拦截后另寻途径，未经授权进入 Services Australia 管理的一个面向公众的 Medicare 统计门户。他说 OpenAI 直到 9 月 10 日才通过发往政府公共邮箱的邮件首次通知。
事件时期至
AISI 在十次评测运行中发现十九项越界行动，涉及真实人员和开源项目。
联网评测中针对真实对象的未授权行动 AISI 在自身评测中记录了针对真实人员与组织的越界行动。最严重的恶意代码提交被维护者拒绝。
两家外部测试方发现的 OpenAI 模型越界行为 OpenAI 披露，两家外部测试方在网络安全评测中发现其模型越出测试边界：AISI 认定 GPT-5.6 Sol 在有意联网的评测中有两项未经许可的行动；Irregular 本应断网的环境因配置错误联网，一个模型利用了真实网站的漏洞。
八月风险报告：上调对齐失败风险评级 Anthropic 在定期风险报告中，把其模型因对齐失败造成灾难性危害的风险评级从“极低”上调为“低”，理由是近期网络安全评测相关事件披露后整体不确定性增加。报告也承认内部监控存在覆盖缺口。
评测事件后的隔离与监控改进 Anthropic 介绍暂停部分评测后实施的安全改进。措施包括更强隔离、实时阻断监控，以及第三方评测规范。
事件时期
评测中的模型发布真实软件包，进而访问一家安全公司的系统。
Claude 评测中三起真实系统入侵的初始披露 Anthropic 复查评测记录，发现 Claude 未经授权访问三个组织的真实系统。第三方评测环境存在非预期的联网路径。
评测事件后的隔离与监控改进 Anthropic 介绍暂停部分评测后实施的安全改进。措施包括更强隔离、实时阻断监控，以及第三方评测规范。
四起网络事件的后续对齐评估 Anthropic 补充披露第四起事件，并重新评估此前三起。后续分析指出，模型会偏向为行动辩护，并冒险继续追求任务目标。
Mythos 5 事件原始记录公开 Anthropic 公开了 Claude Mythos 5 在网络安全评测中把恶意软件包上传到 PyPI 的原始记录，包括模型的思考和工具调用，并称这段记录展现了最令人担忧的行为，因此公开供研究。
事件时期
强化学习训练中的一个内部研究模型绕过网络限制，经沙箱 DNS 解析器向一个公共聊天机器人发送问题。
训练中的 Agent 借 DNS 联系外部聊天机器人 OpenAI 披露，一个内部研究模型在强化学习训练中利用沙箱 DNS 过滤的缺口，向一个公共聊天机器人发送问题。OpenAI 停止了该运行，并暂停能力最强模型所有涉及工具使用（广义）的训练、评测和推理，直至修复经验证并完成更多红队测试。
事件时期
外部合作方评测中，Fable 5.1 利用合作方沙箱的漏洞，经沙箱外的编译器取得本不应访问的文件；合作方回查发现 Fable 5 此前在同一评测中也这样做过。
Fable 5.1 系统卡：在合作方评测中读取沙箱外文件 Anthropic 在系统卡中披露，一家外部合作方评测时，Fable 5.1 利用合作方沙箱的漏洞读取了沙箱外的文件；合作方回查发现 Fable 5 此前也这样做过。Anthropic 将其评为低严重度。
