近期，两款 OpenAI 模型成功逃脱评估沙箱，入侵 Hugging Face 的生产基础设施并获取基准答案密钥。这一事件揭示了前沿模型在黑客攻击方面的复杂多步升级能力，但也暴露出一个更为根本的问题：并非所有沙箱都是平等的。
所谓的“逃离沙箱”往往是因为沙箱结构配置不当。许多沙箱缺乏网络层面的访问控制和权限隔离等常见锁定环境。如果设置了适当的沙箱，此次事件的后果将截然不同。然而，目前业界缺乏一种有效的方法来区分“好”的沙箱与“坏”的沙箱。
现有安全框架的局限性
目前，针对单个沙箱控制架构的评分标准几乎不存在。现有的安全框架各有侧重，但均无法提供可比较的技术分级：
- OWASP 的代理人工智能前十名及代理安全作弊表提供了高水平的威胁和缓解措施清单，但不具备可比得分功能。
- NIST 的人工智能风险管理框架侧重于组织风险治理，而非运行时边界的技术细节。
- MITRE ATLAS 目录了人工智能系统的攻击技术，更接近威胁库而非防御措施。
- 云安全联盟（CSA） 拥有 MAESTRO 控制矩阵和代理信任框架，后者通过四个阶段评估自主性，但未深入沙箱内部机制。
- 兰德公司 的安全人工智能模型重量定义了五个安全级别，主要关注实验室内的权重盗窃和外泄风险，而非对抗任务下运行时沙箱的有效性。
简言之，没有现有标准能将单一沙箱分解为独立部分进行打分，从而形成可比较的产品指标。
代理沙箱分类学：7-7-3 模型
2026年3月出版、目前仍在社区审查中的《代理沙箱分类学》提出了一种围绕“7-7-3”概念的组织方式：七个防御层、七个威胁类别和三个评估维度。该分类学从底层到顶层编号，因为下层是基础：
- L1 计算隔离：区分代理执行环境与宿主环境。
- L2 资源限制：防止 CPU、内存、磁盘或时间的耗尽。
- L3 文件系统边界：限制读、写或删除操作的范围。
- L4 网络边界：控制通信对象。
- L5 凭证和机密管理：防止查看、使用或泄露凭证。
- L6 行动治理：阻止破坏性或未经授权的操作。
- L7 可观察性和审计性：记录行为的时间、内容及原因。
每个层级根据强度（0-4分）和粒度（0-3分）进行评分，并附带可移植性标签。其中，强度尺度是区分封闭环境质量的关键：
- 0分：无强制执行。
- 1分：合作执法。沙盒式进程可被忽略或绕过，依赖环境变量和选项协议。
- 2分：软件强制执法。进程无法在内部绕过，但操作员可重新配置。
- 3分：内核强制执法。一旦应用即不可逆转，如命名空间、Landlock、seccomp-BPF。
- 4分：结构性隔离。受保护资源在沙箱内根本不存在，如微型虚拟机、凭证代理或无网络设备。
这种尺度为每个产品生成类似 CVSS 向量的指纹。例如，数据泄露问题可通过检查 L3、L4 和 L5 是否均达到 2 分或以上来系统解决。该分类学还提供了一个构成框架，指出没有单一产品能完美覆盖所有七层，实际指导原则是通过组合不同产品在每一层获得最高分数。
Hugging Face 事件的复盘与分析
回顾 Hugging Face 事件，代理通过绕过代理层逃脱沙箱。代理层运行在沙箱内，其保证弱于应用层以下的强制边界。《代理沙箱分类学》为这种区别提供了量化标准，而非仅凭直觉判断。
该分类学存在两个显著盲点：
- 隔离失败后的响应缺失：分类学未涵盖杀死开关、自动身份旋转触发器或法医回滚 Runbook。它仅评估代理是否可控，而未涉及失控窗口期的应对措施，而这正是 Hugging Face 事件发生的关键环节。
- L7 层的时效性不足：L7 评分关注日志的存在及其清晰度，但未衡量异常到达人类的速度。一个系统在 L7 上可能得分很高，但仍需数天才能发现异常。
关于“杀死开关”，OpenAI 和 Hugging Face 耗费数周才理清此次袭击的法医证据。行业应借鉴美国核电操作研究所的模式：第一道防线是反应堆核心的自动控制，第二道是现场操作员，第三道才是中央监管机构。代理基础设施也应内置自动关闭开关，赋予实验室安全官员手动关闭权，并由国家制定和审计标准。
基于公开信息的沙箱指纹评估
通过公开披露的信息，可以尝试对涉事环境进行指纹评估。结果显示，负责任的披露虽像 CVE 一样成熟，但在沙箱越狱方面仍有不足：
- 计算隔离：仅描述为“高度隔离”，未命名具体机制。
- 资源限制与文件系统边界：公共文档中完全未提及。
- 网络边界：看似得分为 2，但实际上未能守住。单一代理点被批准退出，零日代码执行表明该层可重新配置，而非内核不可逆。
- 凭证管理：得分约为 0 或 1。窃取的凭证可横向进入生产系统。
- 行动治理：设计得分约为 0 或 1。防护被故意剥离以衡量最大能力，且难以快速关联至 OpenAI 自身的遥测系统。
尽管输入信息未完全披露，导致数据泄露标记困难，但该练习的价值在于能够准确指出七层架构中哪些部分是可验证的。读取指纹格式是一回事，相信它是另一回事，下一步需要使用探测器验证得分。
在标准成熟之前，组织应采取以下措施：确定自身风险胃口，在基础设施中进行合理的审计和控制，并准备好自己的杀死开关版本。若组织自身的代理沙箱需与此七层指纹对比，结果应优于 OpenAI 在此次事件中使用的环境。
