为什么不能把失控 AI 智能体隔离在互联网之外

理论上是的。研究人员可以将运行 AI 工具的计算机与互联网及其他外部网络隔离，这种技术被称为物理隔离（air gapping）。这可能意味着物理拔除或禁用线缆和无线硬件，并使用“哑”外设，对于特别敏感的配置还会使用法拉第笼或其他屏蔽手段来阻挡电磁信号进出。如果做得彻底，物理隔离的系统会让智能体没有直通外部目标的路径，外部系统也没有直通内部的路径，从而使实施类似 OpenAI 模型对 Hugging Face 发起的那种攻击变得困难得多，甚至不可能。

但在实践中，一个完全密封的盒子只能构成一个相当有限的实验室，尤其是当目标是评估 AI 在真实世界中的表现时。德国马克斯·普朗克安全与隐私研究所的科学主任 Thorsten Holz 解释说，虽然有些 AI 实验可以在物理隔离的机器上运行，但贴近现实的评估往往需要访问外部服务、API 和数字基础设施。“严格的物理隔离会降低真实感，”他说，并将物理隔离的决定描述为“一种权衡，而非根本性的技术问题”。

英国伯明翰大学计算机学院助理教授 Ruizhe Li 将完全隔离比作在“人造真空”中测试 AI，这可能削弱评估本身的价值。“我们最终测试的将是一个被阉割的 AI 模型，这会让评估者无法看清 AI 模型在真实部署环境中如何表现、如何失败，或如何执行工具调用漏洞利用，”Li 说。

现实性并非唯一的取舍。Li 表示，物理隔离成本高昂，可能让研究慢到几乎停滞，把原本可以快速迭代的过程变成“缓慢的物流障碍”。Holz 表示，在严格的物理隔离下，一些实验也会变得“困难得多”。对于有风险的实验来说，这种摩擦或许是合理的，但如果对所有事情都这样做，就会拖慢新模型的开发，德国图宾根 ELLIS 研究所的首席研究员 Maksym Andriushchenko 说。

而且，即便研究人员想对所有事情都进行物理隔离，Andriushchenko 也质疑，是否存在足够多的安全基础设施，能在前沿 AI 实验室的规模上做到这一点。

它也不会消除 AI 带来的所有风险。Holz 说，智能体仍可能攻陷隔离环境内部的系统，并且理论上可能产生“如果被移到外部就可能具有危险性的恶意产物”。此外，Li 说，物理隔离“无助于诊断或解决模型内部潜伏的风险”。

也无法保证物理隔离会始终完全密封。外部人员总能突破这道隔离，正如发生在Stuxnet 恶意软件——一种网络武器据报道 由以色列和美国开发用于破坏伊朗核计划——它正是通过 U 盘传播的。信息也可能朝另一个方向传递。研究人员已经多次 演示了将内部计算机组件变成发射器的方法，如果屏蔽并不完美，这可能成为问题。“这一切听起来非常科幻，但理论上可行，”Andriushchenko 说。

这种迂回的逃逸路径已成为网上讨论的焦点，人们争论先进的 AI 是否能逃出隔离。OpenAI 研究员 Noam Brown 最近点燃了这场辩论，他提出在 X 上表示，两台气隙隔离的机器理论上可以通过操纵其 CPU 温度并读取变化来进行通信。“你甚至可以说，‘好吧，我们应该把计算机做气隙隔离。’但我不认为这就足够了，”他说。这个想法在社交媒体上遭到了怀疑和嘲笑，更宽容的批评者指出，这种通信方式可能实现，与一对 AI 系统发现并利用它之间存在着巨大差距，尤其是因为该技术会产生极其缓慢的数据传输速度。

一个足够先进的 AI 可能不需要诉诸精心设计的逃脱路线。人类可能会被说服为它弥合这一差距。AI 安全研究人员多年来一直担忧这种可能性，而近期的事件提供了具体证据表明模型可以参与社会工程学的尝试。

气隙隔离只是保护 AI 系统的一种手段。“依赖隔离作为一刀切的安全解决方案会制造虚假的安全感，”Li 说。它应与其他措施一起使用，比如理解模型的内部运作、确保它们对齐，以及防范人为错误——这是许多近期失控 AI 事件背后平凡的故障点。“在实践中，测试存在于一个谱系上，”他解释说，该领域依赖的是“分层遏制模型，而非全有或全无的方法”。

不过，极端隔离确实有其用武之地。Stephen Casper，计算机科学家兼哈佛肯尼迪学院公共政策助理教授，将气隙隔离描述为对敏感系统而言的“好主意”，并指出其在核设施中的应用。虽然不排除先进 AI 可能找到某种新颖逃脱方式的可能性，Casper 说，到那时我们可能更应该担心突破遏制的平凡手段，比如合规失败或人为错误。

Holz 表示，AI“评估往往优先考虑真实性和便利性”，但他认为，专为进攻性网络能力设计的智能体理应受到更严格的保障措施约束，可能包括默认采用强隔离和严格监控。“这种权衡值得更深入的审视，我们已经看到事情有多容易出问题，”他说。