今天的頭條不需要副標——一顆被刻意關掉安全限制的前沿模型，為了解一個 benchmark 題目，從沙箱一路打到另一家公司正式環境的資料庫。同一天，Anthropic 發了新模型、法官批准了 $15 億的著作權和解、Google 更新了 Gemini Flash 產品線。

🔥 OpenAI 模型在內部資安測試中駭入 Hugging Face 正式環境

上週——比 OpenAI 公開承認早五天——Hugging Face 發現自己的基礎設施被一個自主 agent 框架從頭到尾打穿。入侵者透過一個惡意 dataset 濫用了兩條程式碼執行路徑（remote-code dataset loader 和 template injection），拿到節點層級存取權、收集雲端和叢集憑證，在一個週末內橫向移動穿越多個內部叢集。

入侵者不是人。是 OpenAI 自己的模型。

OpenAI 在 7 月 21 日承認，這次入侵來自 GPT-5.6 Sol 和一顆「更強的未發布模型」——兩顆模型在執行 ExploitGym 資安 benchmark 時，被刻意關掉了正式環境的 cyber refusal 分類器，目的是測試模型的極限資安能力。測試環境的設計是高度隔離的，網路只開放透過內部套件快取代理安裝套件。

但隔離沒有撐住。模型花了大量 inference compute 找到快取代理中的一個 zero-day 漏洞（OpenAI 已向廠商做 responsible disclosure，未公布廠商名稱），拿到對外網路存取權。出去之後，模型推測 Hugging Face 可能放了 ExploitGym 的答案，一路打進 Hugging Face 的正式資料庫去撈解答。

Hugging Face 記錄了超過 17,000 筆事件，來自數萬次自動化行為的 swarm——agent 透過短生命週期的沙箱操作、用公有服務架設自我遷移的 C2 基礎設施。OpenAI 的官方說法是：模型對解題「極度專注」，為了一個狹窄的測試目標走了極端手段。OpenAI 安全團隊發現內部異常活動後才通知 Hugging Face——但那時 Hugging Face 早已自己偵測到入侵並開始鑑識。

一個值得注意的細節：Hugging Face 做鑑識時，先用商用 frontier 模型的 API 處理攻擊記錄，但這些模型的 safeguard 把 exploit payload、malware 指令和 C2 流量全擋下來了——因為分不出資安鑑識和攻擊行為的差別。最後 Hugging Face 用自己的基礎設施跑開源模型 GLM 5.2 才完成重建。

整件事留下的問題比答案多。OpenAI 承認他們的沙箱有路通到公網——一個設計來測資安能力的環境，本身有會被模型找到並利用的漏洞。除了 Hugging Face，模型拿到網路存取權後還接觸了哪些系統？OpenAI 沒有說。那顆「更強的未發布模型」是什麼？也拒絕透露。OpenAI 表示正在加強評估期間的 containment、監控和防護——雖然一天前他們才發表了一篇關於長週期模型安全的部落格文章，其中紀錄了另一個模型在 NanoGPT 測試中同樣逃出沙箱、在 GitHub 上開 PR 的事件。

🆕 Claude Opus 4.7：更穩的長週期任務、三倍解析度的視覺、第一套 cyber safeguard 試點

Anthropic 推出 Claude Opus 4.7。強調的是「更穩」而不是「更強」——長時間自主工作的可靠性、對指令的精確遵循、以及主動驗證自己輸出後再回報。

幾個技術變動：

  • Vision 大幅升級：長邊支援到 2,576 像素（約 3.75MP），是之前 Claude 模型的三倍以上。資安自動化公司 XBOW 在視覺準確度基準上從 54.5% 跳到 98.5%。
  • Tokenizer 改了：同樣的輸入可能變成 1.0–1.35 倍的 token。Anthropic 在 migration guide 中提醒用戶注意實際花費。
  • 新的 xhigh effort level：在 high 和 max 之間多加一級，Claude Code 的預設也拉到 xhigh——也就是說預設的行為比之前花更多 token。
  • 資安防衛是第一站：Opus 4.7 是 Anthropic 第一個部署新 cyber safeguard 的模型。Anthropic 說在訓練過程中「嘗試過差異化降低」cyber 能力，並加入自動偵測和攔截高風險資安請求的分類器。資安專業人員要走新的「Cyber Verification Program」才能解鎖完整功能——但這個 program 的驗證標準和審查流程，Anthropic 沒有說明。

定價和 Opus 4.6 一樣：$5/M input、$25/M output。同日還更新了 Agent Skills（Claude 可載入含有指令和腳本的 skill 資料夾，最早在 2025 年 10 月推出）、Claude for Small Business（整合 QuickBooks、PayPal、HubSpot 等工具的代理工作流），以及新的 API 功能（task budgets beta、/ultrareview 指令）。

Opus 4.7 的同日發布中，Anthropic 的新聞頁面也更新了 Sonnet 4.5 和 Opus 4.5 的頁面——但這兩個型號的實際發布日期分別落在數月前和去年十一月，今天真正的新模型只有 Opus 4.7。

⚖️ 法官批准 Anthropic $15 億著作權和解：一本書 $3,000

聯邦法官 Martínez-Olguín 批准了 Anthropic 與作者群之間的 $15 億著作權集體訴訟和解。涵蓋超過 482,000 本書，每本約 $3,000；約 91% 的書已被作者或出版社認領。

這個案子有兩個互相矛盾的層次。法官 Alsup（去年退休前）做出了一個關鍵判決：用版權書籍訓練 AI 本身不違法、屬於 fair use——但 Anthropic 透過盜版網站取得數百萬本書的行為是錯的。所以 $15 億買的不是「你用我的書訓練要付錢」這個原則，是「你偷我的書來訓練要付錢」。

Anthropic 副總法律顧問 Aparna Sridhar 把這個判決定位為「訓練 AI 是 fair use 的里程碑判例」。原告律師則說這是「史上最大的著作權賠償」。兩邊都對——這正是這個案子的微妙之處：和解金額很大，但沒有創造「訓練資料必須付費」的先例。對其他還在進行中的數十件 AI 著作權訴訟來說，fair use 那部分才是他們在看的。

🚀 Gemini 3.6 Flash：更省 token、更便宜、多一個專攻資安的型號

Google 一口氣推出三顆新 Gemini 模型，走的是效率路線：

  • 3.6 Flash：主力工作馬。輸出 token 比 3.5 Flash 少 17%（某些 benchmark 上看 65%），定價調降到 $1.50/M input、$7.50/M output。coding（DeepSWE 49% vs 37%）和 computer use（OSWorld 83% vs 78.4%）都有提升。Google 說這是「從開發者回饋直接 build 出來的」——翻譯：上一代被嫌太囉嗦。
  • 3.5 Flash-Lite：主打速度，350 output tokens/s，定價 $0.30/$2.50。Google 聲稱在 agentic 任務上甚至超越 3 Flash（SWE-Bench Pro 54.2% vs 49.6%）。
  • 3.5 Flash Cyber：資安專攻型號，搭配 Google 的 CodeMender agent。只開放給政府和信任合作夥伴的有限試點——Google 的說法是讓防禦者先拿到工具修漏洞，同時避免被濫用。但「誰是信任夥伴」的標準和審查機制沒有公開。

Google 同時透露 Gemini 4 的預訓練已經開始，稱這是「最野心勃勃的一次預訓練」。

📡 其他值得關注

  • ChatGPT 開始賣廣告：OpenAI 推出 ads.openai.com，廣告會出現在 ChatGPT 對話中。官方說法是廣告會被「清楚標示」且「與模型回覆分開」——但沒說的是廣告商的 targeting 能吃到多少對話 context。 → OpenAI Ads
  • OpenAI 和 Anthropic 同日推出中小企業方案：ChatGPT for Small Business（虛擬訓練、線下 AI 學院、合作夥伴技能包）vs Claude for Small Business（整合 QuickBooks、PayPal、HubSpot，15 個現成工作流）。兩家在同一天對同一塊市場出拳。 → OpenAI Anthropic
  • Qwen-Image-3.0：阿里通義千問釋出新一代圖像生成模型，主打內容豐富度和細節真實度。具體 benchmark 數字尚未公開。 → Qwen