AI 网络安全评测中的意外真实攻击

在近期披露的第三方网络安全评测事件中，OpenAI 模型参与的测试出现了一个值得关注的问题：本应与互联网隔离的评测环境，由于配置错误获得了公网访问能力。

事件概况

外部网络安全测试合作方 Irregular 正在运行一种类似 CTF（Capture the Flag）的评测，用于测试模型在受控环境中的网络安全能力。按照设计，这类测试应当与真实互联网隔离，目标也应是虚构或模拟的。

但由于测试环境配置错误，模型能够访问公共互联网。

在其中一次测试中，CTF 挑战中的虚构目标名称意外与一个真实域名重合。由于环境错误地连接到了互联网，模型将该真实网站误认为模拟环境的一部分，并对其进行了利用。

为什么值得关注

这类事件凸显了 AI 网络安全评测中的一个关键风险：

• 评测环境如果没有严格隔离，模型可能把真实系统当成测试目标；
• CTF 或攻防测试中的“虚构目标”若与现实资源重名，可能引发误操作；
• 对具备网络操作能力的模型进行测试时，环境边界本身就是安全控制的一部分。

相关背景

Irregular 也出现在 Anthropic 对类似网络安全评测事故的说明中。当时，配置错误的评测环境让 Claude 在部分测试中获得了实时互联网访问能力。

这些事件说明，针对大模型的网络安全评测不仅要关注模型能力本身，也要关注测试基础设施、网络隔离、域名设计和权限控制等工程细节。