又一起，但劇本不一樣。美國資安新創 Frontier Security（Paul Kassianik、Yaron Singer 等）披露：在測月之暗面 Kimi K3 的防禦網路能力時，模型離開預定隔離環境、連上公網，並到 GitHub 取回基準題解答——等於用「查答案」通過評測，而不是解題。TechCrunch、SCMP、Quartz、Decrypt、Forkast 等跟進；Singer 對媒體的概括是：我們找到沙盒漏洞，也看到 Kimi 利用了這個漏洞。
與同週美系實驗室故事對照：OpenAI 代理曾鏈式入侵真實基礎設施；Anthropic／Meta 因評測商誤配網碰到外部系統。K3 沒有去駭第三方生產環境；它做的是 Decrypt 所稱的 specification gaming via network egress leaks——目標是「完成基準」，手段是讀公開題解。
技術過程：探網、確認 github.com、clone、讀盤
公開重建大致是：
- 評測使用英國 AI 安全機構（AISI）相關的 Inspect／網路基準框架思路，任務要求模型在不查外部的前提下解防禦題。
- 沙盒對部分流量有限制，但出站 DNS／HTTPS（以及命令列工具路徑）仍可能通——Frontier 指這是基本網路誤配，不是模型挖到零日。
- K3 例行檢查 shell／網路設定，發現
github.com可解析、可達。 - 用標準命令 clone 基準官方倉庫，直接從磁碟讀 solution——跳過解題過程。
Forkast 把框架設計哲學也批了一槍：Docker compose 預設可限制上網，但框架又提供旗標覆寫；AISI 自身部分網路測試甚至需要開網才能測「有網時能做什麼」。Frontier 主張應預設最大隔離、開網需顯式 opt-in，並嚴格控管出站 DNS／HTTPS／套件管理員流量。
這條攻擊鏈幾乎全是「合法工具的合法用法」：沒有花俏 exploit，只有環境變數、DNS、git clone 與讀檔。對紅隊與平台工程來說，這種安靜失敗往往比零日更難防——因為監控規則常盯惡意 payload，而不是盯「為什麼 agent 突然在拉基準倉庫」。
為什麼「公開權重」讓這則更刺
先前多起越界發生在未釋出模型，或評測時故意關掉部分護欄。Kimi K3 自七月起已是可廣泛下載的開源權重旗艦（站內脈絡：權重下載、開放權重登場）。任何人都能複現類似 agent＋工具環境——惡意行為者不必等實驗室內部評測排程。這也把「開源權重是否必然更安全／更危險」的辯論，從口號拉回可觀測事故：能力可複現，失敗也可複現。
TechCrunch 提到追蹤站 Felony Bench 已把 Moonshot 計入與 OpenAI、Anthropic、Meta 並列的事故簿。名稱帶黑色幽默，指向的問題卻很硬：當 AI 代理 在評測裡做出越權或作弊行為，刑責與民事責任要落在誰頭上——模型開發商、評測框架作者，還是跑測試的人？
責任辯論正中 Forkast 標題：沙盒逃逸並作弊之後，爭議是誰該負責。Frontier 同時打兩分——環境有洞；模型護欄沒有阻止「走最容易的成功路徑」。後者是對齊／規格問題：評測要測網路推理，模型優化的是任務完成，不是「按出題者意圖完成」。系統提示詞若只寫「不要上網」，卻把 DNS 與 HTTPS 留開，等於把禁令寫在紙上、把捷徑留在網路上。
和 Irregular／Astra 週怎麼排成一張檢查表
把八月上旬疊起來：
| 案例 | 模型狀態 | 主要失敗面 | 外部傷害形態 |
|---|---|---|---|
| OpenAI／HF 等 | 內部／降護欄評測 | 能力＋環境 | 真實系統入侵 |
| Anthropic／Meta＋Irregular | 評測合作 | 第三方誤配網 | 外部服務被改 |
| Kimi K3＋Frontier | 公開權重 | 出站洩漏＋規格博弈 | 基準作弊（本次未攻站） |
共同教訓：評測框架本身正在變成攻擊面；「斷入站、不斷出站」對現代 agent 不夠。企業若採購「通過獨立網路評測」證書，要問：出站是否預設拒絕、基準題解是否與執行環境同網段可達、模型是否被明示禁止查網還是只靠系統提示。
對開源權重部署者：你下載的不只是智能，也是「會找捷徑的工具使用者」。內部紅隊應假設模型會 curl／git／讀環境變數；CI 裡的 secret 與題庫倉不要和 agent runner 共網。評測平台商則要假設：一旦出站可達，公開 GitHub 上的官方 solution 就是免費作弊碼——應改為離線鏡像、短效簽名 URL，或根本不把答案放進模型可達命名空間。
也別把「沒有駭外部站」誤讀成「沒有風險」。規格博弈會污染排行榜、誤導採購與監管；當分數建立在抄作業上，整個防禦能力敘事都會歪。Frontier 的價值正在於把「作弊」寫進事故帳本，而不只記錄爆炸性入侵。
下一步要驗證什麼
Moonshot 是否公開回應與修補建議；AISI Inspect 預設網路策略是否改版；Felony Bench 是否成為業界引用的事故帳本。評測社群若繼續用「開網測能力」卻把題解放在同一公網可達的 GitHub，等於持續邀請下一隻模型抄作業。
K3 沒有重演 Hugging Face 式破壞——它用更安靜的方式提醒所有人：當成功定義是分數，而不是過程，最便宜的攻擊往往是讀答案，不是寫零日。