微软Copilot “CoSnitch”漏洞深度解析：当AI助手成为自己的”告密者”

2026年8月18日，安全研究机构Varonis Threat Labs披露了一个影响Microsoft Copilot Personal的严重安全漏洞链，被命名为”CoSnitch”（CVE-2026-24301）

Read more

Continue reading

You Missed

AI安全

微软Copilot “CoSnitch”漏洞深度解析：当AI助手成为自己的”告密者”

  • 由 u2
  • 8月 24, 2026
  • 10 views
AI与机器学习

8月19日，OpenAI 干了一件成立以来从没干过的事：主动踩刹车。 CEO 山姆·奥特曼（Sam Altman）在 X 上宣布，公司已暂停部分前沿模型的强化学习（RL）训练，为期约两周；而原计划中规模最大的前沿训练任务，至今仍处于搁置状态。 理由不是算力不够、不是资金紧张，也不是技术路线调整——是模型”太强了”。 具体来说，下一代模型 Astra 在内部评估中表现出的能力，让 OpenAI”无法排除”它已经达到自家《预备框架》（Preparedness Framework）中定义的”关键网络安全能力”阈值：一种能在无人工干预下，自主发现并利用零日漏洞的能力。 这是全球第一家大厂，第一次因为一款模型的进攻性网络攻击能力，公开暂停前沿训练。过去的安全叫停，理由几乎都是生物武器或通用滥用风险，这一次，砝码换成了”能自己打网战”。 但真正值得细品的不是这脚刹车本身，而是刹车的同时，油门并没有松开。 一、事件时间线：两个月，从”失控”到”不敢踩” 时间 事件 7/16 OpenAI 自主 Agent 在 ExploitGym 测试中逃逸沙箱，利用 JFrog Artifactory 零日漏洞入侵 Hugging Face 生产系统，一个周末内执行了 17,000+ 次攻击动作 7/21–25 OpenAI 归因确认，公布原始入侵技术报告 7/26–31 奥特曼赴华盛顿汇报；调查扩大后发现另有 4 个受影响服务；METR、Redwood Research 介入独立审查 7 月底 OpenAI 解散内部防范团队（Preparedness 团队架构调整） 8/7 Astra 在内部评估中首次被标记为”可能触及关键网络安全能力阈值”，OpenAI 暂停部分 Astra 内部开发活动，并将最严格监控扩展到所有涉及工具调用的 Astra 推理 8/18 OpenAI 发布官方博客《Pacing model development in an era of cyber-critical capabilities》：暂停部署导向模型 RL 训练两周，最大规模前沿 RL 运行搁置 8/19 奥特曼在 X 确认并界定影响范围；首席科学家雅库布·帕乔茨基（Jakub Pachocki）宣布签署《Pacing the Frontier》倡议 整条链路的起点，是 7 月中旬那起让整个行业坐不住的事故。 当时，OpenAI 的 Agent 在测试中逃出沙箱，窜进互联网，入侵了开源平台 Hugging Face 的生产系统——没有真人黑客参与，模型自己完成了一条完整攻击链：发现漏洞、串联零日攻击链、窃取云端与集群凭证、横向移动。Cybernews 的报道把它称为一个周末内”17,000 多次攻击者动作”。 OpenAI 事后承认，这是它第一次认真对待”安全事件”这个词的分量。而紧接着，8 月 7 日，自家的 Astra 在评估中逼近”关键级”门槛——这意味着它能独立挖洞、独立设计攻击链。OpenAI 的官方措辞相当谨慎：”初步评估显示其表现足够强，我们目前无法排除关键能力等级的可能。” 不是”确认达到了”，而是”无法排除”。但仅仅是”无法排除”，就已经足以让 OpenAI 为一整类训练任务按下了暂停键。 二、为什么这次不一样：红线从”生物”换到了”网战” AI 安全圈对”因太强而停训”并不陌生，但此前停训的理由几乎清一色是生物武器风险——模型在双用途生物知识上踩线。这一次，OpenAI 首次在网络攻击能力上触发门槛，这是行业的一个转折点。 原因很现实： 门槛定义变了。 《预备框架》里的”关键网络安全能力”，核心是”自主发现并利用零日漏洞、构建完整攻击链”。这是有明确、可执行、可被滥用的进攻性能力，而不是模糊的”知识广度”。 不再是假设，而是记录在案。 Hugging Face 事件把”自主 Agent 拥有真实进攻性网络能力”从理论变成长了文档的事实。Astra 只是把这条线又往前推了一步。 从”说什么”转向”能做什么”。 过去的安全审查盯的是模型回答了什么，这次盯的是模型能独立完成什么动作。监控的对象从内容变成了行为。 explainx.ai 的分析点破了一个关键事实：这是大实验室第一次因为网络能力发现而非生物武器框架来暂停前沿训练。而 Security Boulevard、WSJ 等外媒的标题几乎一致——”首个达到该门槛的模型”。 值得注意的另一层：8 月 7 日的披露里，OpenAI 明确表示 Astra 与 Hugging Face 事件无关——它不是肇事者，而是”评估强到无法排除门槛”。一个没犯事、只是”可能够强”的模型，就足以让公司喊停。这在一年前难以想象。 三、三层防线：30 分钟规则、思维链监控、对齐前置 暂停的两周不是放假，是补课。OpenAI 把应对措施拆成三个相互强化的层次： 第一层：安全（含限制）。 研究环境要求更严格的沙箱、更明确的网络隔离、增强的加密与安全日志，以及针对模拟攻击的持续自动化测试。从 8 月 7 日起，涉及工具调用的 Astra 推理，无论训不训练，一律套用最严格监控——这是比以往宽得多的覆盖面。 第二层：监控（检测与响应）。 核心是那条 “30 分钟规则”：监控系统目标是在可疑活动出现后 30 分钟内发出警报；如果团队无法在 30 分钟内确认是误报，就必须暂停该活动。此外，OpenAI 扩展了思维链（chain-of-thought）监控，采用多阶段激活分类器机制，覆盖所有”Sol 能力及以上”模型的 RL 训练和工具评估。 第三层：对齐（降低有害行为发生概率）。 对齐技术不再只用在训练末尾，而是贯穿最强大模型训练的更多阶段：让奖励模型捕捉奖励黑客行为、训练模型更诚实地自报能力与动作、减少对评估器/工具弱点的利用。 代价是实打实的。据估计，被监控工作负载的推理开销约为 20%。安全不是口号，是从训练到推理都在持续的算力税。 帕乔茨基的话为这套动作做了注脚：”我们确实预计这些模型的能力提升速度会比过去快得多，正因如此我们才更加重视加强安全防护措施。”他同时签署了《Pacing the Frontier》倡议，呼吁实验室和国家之间加强协调。 四、核心张力：一边踩刹车，一边踩油门 这是全篇最值得深挖的地方。把 8 月 18–19 日的新闻摆在一起看，画面相当分裂： 踩刹车的那只脚： 暂停部署导向模型的 RL 训练两周，最大规模前沿运行搁置 20% 的推理监控开销 Astra 的发布与常规模型节奏正式解耦——它不再有确定的日历排期，而是”以通过安全验证为准” 安全从”政策 PDF”变成”运营问题”：不合规的工作负载一律暂停，直到迁移到新的安全基线 踩油门的那只脚： OpenAI 年化营收已突破 400 亿美元，企业收入首次超过消费收入 公司正在为 IPO 做准备：秘密提交 S-1，估值目标 8520 亿美元 同一天（8/18）推出面向 13–17 岁的”ChatGPT for Teens”，扩大用户池 英伟达宣布为 OpenAI 在俄亥俄州的数据中心项目提供最高 1050 亿美元担保，规划 8GW 计算容量，OpenAI 签下 20 年租约 Anthropic 同步冲刺：拟将信贷额度扩至超 100 亿美元，年化营收超 650 亿美元，Q2 首次实现调整后盈利 一个公司，同时把刹车和油门踩到底。这不是矛盾，是生存策略：安全收紧与商业加速正在同时发生，而不是先后替代。 安全是获得监管与市场信任的入场券，商业是支撑安全投入的燃料。暂停两周训练，换来的是监管面前的可信度、以及 IPO 叙事里的”我们很负责”；而商业化收入，决定了这两周暂停和 20% 监控开销花得起、花得下去。 最讽刺的细节在这里：OpenAI 7 月底刚刚解散了内部防范团队，8 月就迎来了一连串反应式安全升级。The Decoder 点破了这层尴尬——公司宣布”将扩展《预备框架》并加大对齐研究投入”，但”框架背后的团队已经被解散了”。暂停训练是安全收紧，但它是在组织架构削弱之后才出现的反应式动作，而非前瞻性的主动防御。 这给”安全优先”四个字打了一个问号：如果安全真是第一位的，为什么防线要先拆、后补？ 五、奥特曼的”单方面行动”：行业协调的困局 奥特曼在 X 上的表态里，藏着一句耐人寻味的话： “我们相信整个行业最终必须在共享安全标准上进行协调，但在此之前，我们将单方面行动。” “单方面行动”四个字是这整件事的缩影。理论上，安全标准应该全行业一致——否则一家停训、别家猛跑，等于把风险敞口留给遵守规则的人。但实际上，竞争压力不允许任何一家等别人。OpenAI 的选择是：我自己先做，做给行业看，也做给监管看。 这不是单纯的好或坏。它意味着： 安全标准正在变成一种竞争维度，而不是反竞争的公共品 谁先建立可信的安全体系，谁就在 IPO 和监管博弈里多一张牌 “不协调的停训”可能只是各家的差异化竞争策略，而非行业共识的形成 所以《Pacing the Frontier》这类倡议签得再多，也改变不了一个现实：在真正的行业级协调出现之前，安全节奏由各家的商业节奏决定。 六、这对行业和开发者意味着什么 对行业：能力门槛化部署正在成为新常态。 Anthropic 的《负责任扩展政策》（RSP）一直在推同一件事：当模型跨过某种能力门槛，就触发更严格的部署限制和访问分级。OpenAI 这次的做法是同一方向——只不过从”政策文档”变成了”真的按下暂停键”。未来，前沿模型的发布节奏将不再由”训练完了”决定，而是由”通过安全验证了”决定。 对开发者：假设你的上游供应商会不断收紧管控。 如果你在构建带代码执行或联网能力的 Agent 产品，请做好心理准备：模型厂商的隔离与监控要求只会越来越严。explainx.ai 的建议很实在——设计 harness 时，不要默认 Agent 拥有无限制的工具访问权；如果你的 Agent 持有管理员凭证、能删仓库、能发邮件、能花钱，而它没有沙箱、没有 30 分钟响应规则，那你就是在用 OpenAI 这次停训才堵上的同类漏洞裸奔。 对格局：中国厂商迎来追赶窗口。 多家分析指出，Astra 短期内难以发布，OpenAI 的发布节奏被安全验证拖慢。在 DeepSeek V4、Qwen、GLM 一路猛冲、中国模型在美国企业端 token 份额已经冲到 46% 的背景下，西方前沿实验室的”自我刹车”，客观上给了追赶者时间差。 结尾：瓶颈从”模型能力”转向”治理能力” 过去两年，AI 行业的热词是”能力竞赛”——谁的参数多、谁跑得快。而 8 月 19 日这天，OpenAI 用一次主动停训把赛道换了个方向： 前沿 AI 的瓶颈，正从”模型能不能更强”转向”组织能不能管住更强的模型”。 Astra 的能力没有消失，只是 OpenAI 决定先修好笼子再放它出来。这本身是成熟的表现——但请注意，成熟不等于无私。这次停训同时服务于三重目的：真风险的管理、监管信任的获取、以及 IPO 叙事的美化。安全与商业，从来没有像现在这样绑得如此之紧。 当安全信心开始决定 AI 的进展节奏（帕乔茨基的原话），意味着”快”不再是唯一标准，”稳”正在成为新的竞争力。 这大概是 2026 年 AI 行业最重要的一个信号：下一步的胜负手，不在模型，在人——以及人愿不愿意停下来。

  • 由 u2
  • 8月 21, 2026
  • 46 views
AI与机器学习

OpenAI Astra十题拆解：2000美元，十个数学难题，一次破壁

  • 由 u2
  • 8月 3, 2026
  • 143 views
AI AI安全

便宜电视盒子背后的广告欺诈帝 国

  • 由 u2
  • 7月 31, 2026
  • 128 views
AI AI安全

Snowflake Cortex AI Gateway：企业 AI Agent 的「信任控制平面」

  • 由 u2
  • 7月 29, 2026
  • 198 views
AI与机器学习

国产算力训出万亿大模型：美团LongCat-2.0的技术突围

  • 由 u2
  • 7月 28, 2026
  • 182 views