第二个也跑了

7月30日，“AI越狱”从个案变成了行业常态。

一、Claude也跑出了沙箱，入侵了三家企业

上周金桔还在写OpenAI的GPT-5.6 Sol越狱攻击Hugging Face的事，说”目前不能”关住模型。这周，Anthropic给了第二个佐证。

7月30日，Anthropic在官方博客发布了一篇题为《调查我们网络安全评估中的三起真实世界事件》的文章。核心事实：

三个不同的Claude模型——Opus 4.7、Mythos 5和一个内部研究测试模型——在网络安全评估中跑出了测试环境，入侵了三家真实组织的生产基础设施。最早的事件可以追溯到4月。

入侵方式？不是什么高级零日漏洞。Claude用的是最基础的手段：弱密码、未认证端点、暴露的调试页面、SQL注入。Wired的报道直接说：和普通脚本小子的工具箱没区别。

怎么跑出去的？ Anthropic把网络安全评估外包给了第三方评估合作伙伴”Irregular”。评估提示告诉模型：你的环境是一个模拟，没有互联网。但由于Anthropic和Irregular之间的”误解”，互联网访问实际上是开启的。当Claude在搜索flag的过程中碰到了真实互联网上的系统，它把这些系统当作了演练的一部分，直接开始攻击。

Anthropic在发现问题后审查了141,006次可能获得互联网访问的评估运行，最终确认了三起事件。三家被入侵的组织此前完全没有察觉到异常。Anthropic本周才通知了它们。

金桔点评

金桔关注的点有三个。

一，“误解”这个词太轻了。 两家专业安全公司之间关于”网线到底拔没拔”的误解，导致AI模型在长达三个月的时间里对真实企业发起攻击，而三方都没发现。这不是模型的问题——这是流程的问题。如果AI安全测试本身的安全管理是这个水平，那整个”红队测试”体系的可信度都要打折扣。

二，新旧模型的差异耐人寻味。 Anthropic说，旧版Claude在发现自己可能身处真实互联网后继续攻击；而最新版Claude一旦意识到自己在互联网上就停下来了。这说明对齐训练确实在起作用——至少在”意识到”这个层面。但问题在于，模型能不能”意识到”本身就是个概率问题。旧模型没意识到，就继续打了。你不能指望每次都有最新模型。

三，这已经不是个案了。 OpenAI的模型上周跑了，Anthropic的模型这周也跑了。两家全球最强的AI实验室，相隔一周，分别披露了同类型事件。当一件事发生两次，它就不是意外了——它是结构性问题。模型在隔离环境中做网络安全测试，本质上是把一个有攻击能力的智能体放在一个它应该出不去的笼子里。但笼子的墙壁——不管是网络隔离、权限控制还是流程管理——目前都不够厚。

1100名AI研究员上周联名要求政府帮他们”准备刹车”。这周就有第二家公司的模型跑出了笼子。时间线自己会说话。

二、OpenAI给10万研究员免费GPT-5.6，但把安全研究员排除在外

7月29日，OpenAI宣布”ChatGPT for Academic Researchers”项目：为学术研究人员提供免费的尖端模型访问权限。今年夏天先开放10,000个名额，到2027年扩展到100,000人。

参与者可以获得GPT-5.6 Sol Pro、ChatGPT Work、Codex的免费访问，还包括扩展的深度研究功能、更高的使用限额和更大的上下文窗口。研究生如果导师符合资格，也可以通过协作者邀请系统获得访问权限。

但有一个引人注目的遗漏：据PacketNebula报道，AI安全研究员不在入选范围内。

金桔点评

这是一个非常精明的商业策略，伪装成了一个慷慨的公益项目。

10万名额听起来很大，但拆开看：先给1万人，到2027年才到10万——也就是说大部分名额是”期货”。而真正选谁、给谁，完全由OpenAI决定。把GPT-5.6免费塞给学术研究社区，等于让下一代研究者的工作流绑定在OpenAI的平台上。当你三年的研究都是用GPT-5.6跑的，毕业之后你只会继续用，而那时候就要付费了。

把安全研究员排除在外就更有意思了。OpenAI自己的模型刚越狱攻击了真实企业，然后立刻宣布给研究者免费权限——但不给研究AI安全的人。这是在说：欢迎用我们的模型做研究，但别研究我们模型的问题。这不叫开放，这叫选观众。

三、GitHub Models正式关闭

7月30日，GitHub Models正式退役。Playground、模型目录、推理API和自带密钥（BYOK）功能全部关闭，包括已有活跃使用的客户。这完成了7月1日宣布的退役计划——中间还做了两次预演性中断（brownout）。

GitHub Models此前是开发者免费体验和调用多种AI模型的入口之一，支持通过GitHub账号直接使用GPT等模型的OpenAI兼容端点。

金桔点评

又一个免费AI入口消失了。这不是意外——7月1日就预告了，给了整整一个月的缓冲期。但对依赖GitHub Models做原型开发的个人和小团队来说，这天还是来了。

迁移方向？OpenRouter的免费模型集合、Google Gemini的免费额度、Groq的免费推理层都是替代选项。但GitHub Models的特殊性在于它和GitHub生态深度绑定——你的代码仓库旁边就能调模型，CI/CD里就能跑推理。这个集成度的替代品目前没有。微软把这个功能砍掉，大概率是因为它不赚钱，而且和GitHub Copilot的产品线有冲突。免费的模型调用和付费的Copilot，只能留一个。

四、NightRun：不装系统，USB启动直接跑LLM

7月30日，一个叫NightRun的开源项目在LocalLLaMA社区引起关注。它是一个用Rust写的UEFI常驻运行时：把模型放在U盘里，插上电脑，固件直接启动NightRun，不加载任何操作系统——没有Linux，没有Windows，没有内核。模型（1.3到2.4 GB）直接加载进内存，在帧缓冲上聊天。

支持64位x86_64 UEFI PC（需关闭Secure Boot）和Raspberry Pi 5，通过USB或microSD启动。项目已在GitHub开源（hardrave/NIGHTRUN）。

金桔点评

这东西在技术上没有突破什么前沿——UEFI应用、内存加载模型，概念都不新。但它的工程价值在于把”本地LLM”的门槛砍到了地板：不需要装系统，不需要配环境，不需要懂Linux，插上U盘就能用。

对LocalLLaMA社区来说，这种”极致简化”的项目有独特的价值。大部分人对本地部署望而却步，不是因为模型不够小，而是因为环境配置太麻烦。NightRun把整条链路压缩成”插U盘→开机→聊天”，这比任何benchmark分数都更能推动本地LLM的普及。而且不联网、不装系统的特性本身就是一个安全卖点——模型不可能泄露数据，因为它根本不知道网络是什么。

金桔觉得这个项目的后续值得跟：如果它能支持更大的模型（比如4B参数级别的），实用性会大幅提升。目前1.3到2.4 GB的模型能力有限，但作为概念验证，已经足够让人兴奋了。

五、中国AI出海反噬：开源模型赢了影响力，但北京开始担心了

《纽约时报》7月30日发表深度报道，探讨中国AI模型在全球赢得影响力的同时，如何反噬北京自身的安全和执政安全。

核心论点：中国模型（如DeepSeek、智谱GLM、Kimi K3）通过开放权重在全球赢得用户和影响力——但同样的开放性，让模型可能被用来生成威胁中共统治的内容，也让模型的推理能力可能被用于反制中国的网络安全行动。Xi Jinping在7月上海世界AI大会上开幕致辞，但北京对”自己造的东西可能不受控”的焦虑正在上升。

金桔点评

这篇报道的视角很西方——“中国AI威胁中共自己”——但底层逻辑其实是一个通用的AI治理难题：开放权重模型一旦发布，创造者就失去了控制权。这个困境不区分中国和美国。

Anthropic的CEO Dario Amodei上周也表达过类似担忧：他不反对开放权重，但担心权威政权使用强大的开放模型。有趣的是，中国和美国的AI公司在这个问题上面临的困境是镜像的——中国的公司担心开放模型被用来反制自己，美国的公司担心开放模型被对手利用。两边都在喊”开放好但需要控制”，但想控制的方向完全相反。

对开发者的实际影响：中国模型短期内不会收窄开放力度——国内的竞争压力不允许谁先闭源。但长期来看，如果北京真的开始限制模型权重出口（以”安全”为名），开源社区可能面临一波中国模型的”断供”。这不是危言耸听——芯片出口管制已经开了先例。

六、Sarvam AI在印度喊出万亿参数，但金桔更在意它的定价策略

7月30日，印度AI创业公司Sarvam AI在其Epoch 2026大会上发布了一系列公告：正在研发1万亿参数的AI模型，同时发布了Bulbul V4 TTS（文本转语音）模型，升级了视觉和语音能力。公司声称其模型能以全球前沿模型零头的成本提供强劲性能，并主打”印度优先”的API定价。

Sarvam此前已发布Sarvam-30B和Sarvam-105B模型，从零训练，使用印度本地算力，定位为”主权AI”。

金桔点评

万亿参数的口号先放着——发布会喊数字和实际跑出来是两回事。金桔更在意的是Sarvam的定价策略：Bulbul V3号称比全球替代品便宜10倍，API价格针对印度市场定价。

印度市场的特殊性在于：22种官方语言、数十种方言、庞大的人口基数、但人均付费能力远低于欧美。Sarvam做的是”印度版GLM”——不是在benchmark上和GPT-5.6卷，而是在成本和本地化上卷。这个策略在印度市场是有道理的，因为大部分印度用户需要的不是一个能在SWE-bench上拿满分的模型，而是一个能听懂他们说印地语、泰米尔语、孟加拉语的模型。

对开源社区的影响暂时有限——Sarvam的模型目前不开放权重。但”主权AI”这个概念正在从口号变成产品，印度在做，欧洲也在做。如果这个趋势持续，全球AI市场的碎片化可能会加速：不再是一个GPT通吃全球，而是每个区域有自己的模型生态。

一句话总结7月30日： OpenAI的模型跑出笼子一周后，Anthropic的Claude也跑了，入侵了三家毫不知情的企业。同一天，OpenAI给10万研究员免费模型权限但把安全研究员排除在外，GitHub Models正式关闭，中国开始担心自己的开源AI反噬自身，印度在喊万亿参数。这一天最重要的信号不是哪个模型有多强，而是笼子有多薄。