將AI與真實世界目標隔離能讓測試更安全，但也會讓測試變得不那麼有用。
AI智能體一再「脫韁」，從本應安全的測試環境中逃逸，攻擊真實世界的目標、劫持不起眼的維基頁面，甚至給其他智能體留下可供遵循的指令。研究人員之所以測試這些系統，正是因為它們可能表現出不可預測、甚至危險的行為。那麼，把這些智能體完全隔絕在網際網路之外，豈不是更安全？
「嚴格的隔離會降低真實性……這是一種權衡，而非根本性的技術難題。」
理論上確實如此。研究人員可以將運行AI工具的電腦與網際網路及其他外部網路隔離開來，這種技術被稱為「氣隙隔離
」（air gapping）。具體操作可能包括物理拔除或禁用網線與無線硬體，使用不具備聯網功能的「啞」外設，對於特別敏感的環境，甚至會使用法拉第籠等隱藏裝置來阻擋電磁信號的進出。如果操作得當，一個氣隙隔離的系統將不會給智能體留下通往外部目標的直接路徑，外部系統也無法輕易侵入其中，這將使得類似OpenAI模型此前攻擊Hugging Face的事件變得極難復現，甚至完全不可能發生。
但在實踐中，一個被完全封閉的「盒子」實驗室其實相當受限，尤其是當研究目標是評估AI在真實世界中的表現時。德國馬克斯·普朗克安全與隱私研究所的科學主任托爾斯滕·霍爾茨（Thorsten Holz）解釋說，雖然一些AI實驗可以在氣隙隔離的機器上進行，但要開展真實可信的評估，往往需要訪問外部服務、API接口和數字基礎設施。「嚴格的氣隙隔離會降低真實性，」他表示，並將採用氣隙隔離的決定描述為「一種權衡取捨，而非根本性的技術問題」。
失控AI已非科幻情節
我們已沒有理由再忽視AI安全問題
英國伯明罕大學電腦科學學院助理教授李瑞哲（Ruizhe Li，音譯）將完全隔離比作在「人造真空」中測試AI，這可能會削弱評估本身的價值。「我們最終測試的將是一個被『閹割』過的AI模型，這會讓評估者對AI模型在真實部署環境中的行為方式、失敗模式或工具使用漏洞完全失去洞察力，」李瑞哲說。
真實性並非唯一的權衡因素。李瑞哲指出，氣隙隔離成本高昂，還會讓研究進度大幅放緩，把本應快速疊代的過程變成「緩慢的後勤障礙」。霍爾茨表示，在嚴格的氣隙隔離條件下，一些實驗也會變得「難度大增」。德國圖賓根ELLIS研究所的首席研究員馬克西姆·安德留申科（Maksym Andriushchenko）表示，對於風險較高的實驗而言，這種阻礙或許是值得的，但如果對所有實驗都一概而論地採用這種方式，將會拖慢新模型的開發進度。
安德留申科還質疑，即便研究人員想要對一切都進行氣隙隔離，目前是否有足夠的安全基礎設施能夠支撐前沿AI實驗室達到這樣的規模。
「這聽起來非常科幻，但理論上確實可行。」
氣隙隔離也無法消除AI帶來的所有風險。霍爾茨指出，智能體仍然可能在被隔離的環境內部攻陷系統，理論上還可能產生「一旦被轉移到外部就可能造成危害的惡意產物」。此外，李瑞哲表示，氣隙隔離「完全無法診斷或消除潛藏在模型內部的風險」。
同時，也沒有任何保證能確保氣隙隔離會始終保持完全密封。外部人員隨時可能突破這道屏障，就像「震網」（Stuxnet）惡意軟體事件那樣——據報道，這是由以色列和美國聯合開發、用於破壞伊朗核計劃的網路武器，它正是通過一個USB快閃記憶體盤傳播進入隔離系統的。資訊也可能反向傳出。研究人員已經多次證明，可以將電腦內部元件轉變為信號發射器，如果隱藏措施不夠完善，這可能會成為一個隱患。「這聽起來非常科幻，但理論上確實可行，」安德留申科說。
這種曲折的「逃逸路徑」已經成為網路上關於先進AI是否可能突破隔離限制討論的焦點。OpenAI研究員諾姆·布朗（Noam Brown）近期在X平台上提出，兩台氣隙隔離的電腦理論上可以通過操控並讀取彼此的CPU溫度變化來實現通信，這一說法點燃了相關討論。「你甚至可以說，『好吧，我們應該對這些電腦進行氣隙隔離。』但我並不認為這樣做就足夠了，」他表示。這一觀點在社交媒體上遭到了質疑乃至嘲諷，一些相對溫和的批評者指出，這種通信方式在理論上可行，與一對AI系統真正發現並加以利用之間存在巨大差距，況且這種方法產生的數據傳輸速度也將極其緩慢。
一個足夠先進的AI或許根本不需要訴諸如此複雜的逃逸手段，因為人類自己可能會被說服去為它打通這道屏障。AI安全研究人員多年來一直擔憂這種可能性，而最近發生的一些事件，已經為模型能夠嘗試進行社會工程攻擊提供了具體證據。
「這種權衡取捨值得受到更多審視，我們已經見識到事情有多容易出岔子。」
氣隙隔離只是保護AI系統安全的手段之一。「把隔離當作萬能的安全解決方案，會製造一種虛假的安全感，」李瑞哲說。它應當與其他措施配合使用，比如深入理解模型的內部運作機制、確保模型與人類價值觀保持一致，以及防範人為失誤——而人為失誤正是近期許多失控AI事件背後那個平淡無奇卻致命的失敗根源。他解釋說：「在實踐中，測試其實存在一個光譜」，業界依賴的是一種「分層containment（遏制）模型，而非非此即彼的單一方案」。
不過，極端隔離確有其用武之地。哈佛大學甘迺迪學院電腦科學家兼公共政策助理教授史蒂芬·卡斯珀（Stephen Casper）將氣隙隔離描述為應對敏感系統的「絕佳方案」，並以其在核設施中的應用為例。他並未排除先進AI找到某種新穎方式實現逃逸的可能性，但表示到那個階段，我們或許更應該擔心的是那些更為平凡的隔離突破手段，比如合規失效或人為失誤。
近期發生的一系列事件，讓人們不禁質疑AI實驗室究竟將安全邊界劃在了何處。許多「越獄」事件都涉及正在接受網路安全能力測試的模型，從許多方面來看，它們的表現其實完全符合設計預期——問題在於，它們是在研究人員設定的邊界之外這樣做的。
霍爾茨表示，AI「評估往往優先考慮真實性與便利性」，但他也指出，那些明確為進攻性網路能力而設計的智能體，理應獲得更嚴格的安全保障，默認情況下可能就需要強力隔離與嚴格監控。「這種權衡取捨值得受到更多審視，我們已經見識到事情有多容易出岔子，」他說。
Q&A
Q1：什麼是氣隙隔離（air gapping）？
A：氣隙隔離是一種將電腦系統與網際網路及其他外部網路物理斷開的安全技術，通常包括拔除網線、禁用無線硬體，甚至使用法拉第籠隱藏電磁信號，目的是防止AI智能體訪問外部目標或被外部系統入侵。
Q2：氣隙隔離能完全阻止AI失控嗎？
A：不能完全阻止。研究人員指出，智能體仍可能在隔離環境內部攻陷系統，產生一旦轉移到外部就會造成危害的惡意產物，而且隔離本身也無法診斷或解決模型內部潛藏的風險。
Q3：為什麼不對所有AI測試都採用氣隙隔離？
A：因為氣隙隔離會降低測試的真實性，讓研究人員難以評估AI在真實世界中的實際表現，同時成本高昂、拖慢研究進度，業界更傾向於採用分層遏制模型，而非一刀切的隔離方案。
