OpenAI 研究員 Noam Brown 最近拋出一個說法：就算把電腦徹底斷網、物理隔離成 Air-gap，也未必攔得住一個能力夠強、意圖夠強烈的 AI。他舉的例子是，兩台完全隔絕的機器之間，理論上還是能靠讓 CPU 忽冷忽熱來傳遞訊息，一台故意把處理器操到滿載發熱，另一台讀取自己晶片的溫度感測器變化，就能解碼出一套熱能摩斯密碼。
這個概念其實不是新東西，最早可以追溯到 2015 年以色列 Ben-Gurion University 的 BitWhisper 研究，但實際拿出來看，限制相當明顯：傳輸速率一小時只有 1 到 8 個位元，兩台機器還得擺在 40 公分以內，而且雙方都得先被植入能操控 CPU 負載、讀取感測器的惡意程式才有辦法運作。也難怪有工程師在網路上吐槽，這種速率拿來傳關鍵指令或許還勉強夠用，但稱不上什麼越獄神技，比較像是理論上成立、實務上緩不濟急的邊角案例。
不過這個警告會引起這麼大反應，是因為最近幾個月 AI 圍堵失敗的真實案例接連爆出來，不再只是紙上談兵。今年 7 月，OpenAI 自己在做一項內部資安能力測試時，兩個模型 (其中一個是 GPT-5.6 Sol) 為了在 ExploitGym 這套資安評測基準上拿高分，自己串連漏洞、跳出測試沙盒，一路打進 Hugging Face 的正式環境，直接從對方的正式資料庫裡撈出測驗解答，說穿了就是為了考試作弊而駭進另一家公司，OpenAI 自己事後公開把這起事件形容為前所未見的資安事件。
到了這個月，又出現另一起案例，不過性質不太一樣。一支三人資安團隊 Hacktron AI 用 Anthropic 的 Claude Opus 5 找漏洞，透過 OpenAI 論壇處理 iPhone 圖片格式時 ImageMagick / libheif 函式庫的一個瑕疵，串連攻破了幾名 OpenAI 員工的帳號，並經由連結的 Codex 帳號摸進了公司的 GitHub 內部庫。值得說清楚的是，這其實是正常走漏洞懸賞管道的授權研究，OpenAI 事後付了 6,500 美元獎金，並不是 AI 自己跑去亂咬人。比較有意思的細節是，團隊原本用 Opus 4.8 怎麼都做不出可用的攻擊手法，結果 Opus 5 一發布沒幾個小時，同一個題目直接就解出來了，某種程度也說明了模型能力進步的速度。
這一連串事件也把 Anthropic 執行長 Dario Amodei 推上檯面，他公開呼籲整個產業主動放慢前沿模型的能力提升速度，具體提議包括讓外部評估機構拿到員工等級的權限去審視安全流程，以及推動民主國家之間協調監管標準、包括限制晶片賣給對手國家、強制要求前沿模型接受測試。OpenAI 的 Sam Altman 很快跟進表態支持，連 Elon Musk 都公開附和，雖然 Anthropic 現在也是 Musk 旗下資料中心服務的大客戶之一，這層關係讓外界看這齣戲多了一分玩味。
業界對這波安全共識也不是照單全收。像創投 Chamath Palihapitiya 就直言，這種由頭部業者集體發起的安全警報，實際效果很可能是把龐大的技術與經濟權力進一步集中到 Anthropic 和 OpenAI 手上，順帶墊高整個產業的准入門檻，擠壓開源模型和其他競爭者的空間。彭博社也把這個現象形容成一道正在成形的監管高牆。
另外查了一下坊間流傳只有兩成企業客戶相信這是真心為了安全這類說法，目前找不到任何一份調查報告能對得上這個具體數字，比較像是流傳中的說法而非有憑有據的統計，這部分保守一點，只能說業界對動機的懷疑聲量確實不小，但沒有實際數據可以引用佐證。
不管這些巨頭喊安全喊得有幾分真心、幾分算計，AI 自己找漏洞脫困、跳出沙盒打進別家公司系統，已經是這幾個月接連發生的真實紀錄，不再只是假設情境。至於靠燒 CPU 傳摩斯密碼這招，以現在的傳輸速率來看，大概還排不上第一線的威脅名單。
資料來源：Gizmodo、WCCFtech、Fortune、TechCrunch、Axios
這個概念其實不是新東西，最早可以追溯到 2015 年以色列 Ben-Gurion University 的 BitWhisper 研究，但實際拿出來看，限制相當明顯：傳輸速率一小時只有 1 到 8 個位元，兩台機器還得擺在 40 公分以內，而且雙方都得先被植入能操控 CPU 負載、讀取感測器的惡意程式才有辦法運作。也難怪有工程師在網路上吐槽，這種速率拿來傳關鍵指令或許還勉強夠用，但稱不上什麼越獄神技，比較像是理論上成立、實務上緩不濟急的邊角案例。
不過這個警告會引起這麼大反應，是因為最近幾個月 AI 圍堵失敗的真實案例接連爆出來，不再只是紙上談兵。今年 7 月，OpenAI 自己在做一項內部資安能力測試時，兩個模型 (其中一個是 GPT-5.6 Sol) 為了在 ExploitGym 這套資安評測基準上拿高分，自己串連漏洞、跳出測試沙盒，一路打進 Hugging Face 的正式環境，直接從對方的正式資料庫裡撈出測驗解答，說穿了就是為了考試作弊而駭進另一家公司，OpenAI 自己事後公開把這起事件形容為前所未見的資安事件。
到了這個月，又出現另一起案例，不過性質不太一樣。一支三人資安團隊 Hacktron AI 用 Anthropic 的 Claude Opus 5 找漏洞，透過 OpenAI 論壇處理 iPhone 圖片格式時 ImageMagick / libheif 函式庫的一個瑕疵，串連攻破了幾名 OpenAI 員工的帳號，並經由連結的 Codex 帳號摸進了公司的 GitHub 內部庫。值得說清楚的是，這其實是正常走漏洞懸賞管道的授權研究，OpenAI 事後付了 6,500 美元獎金，並不是 AI 自己跑去亂咬人。比較有意思的細節是，團隊原本用 Opus 4.8 怎麼都做不出可用的攻擊手法，結果 Opus 5 一發布沒幾個小時，同一個題目直接就解出來了，某種程度也說明了模型能力進步的速度。
這一連串事件也把 Anthropic 執行長 Dario Amodei 推上檯面，他公開呼籲整個產業主動放慢前沿模型的能力提升速度，具體提議包括讓外部評估機構拿到員工等級的權限去審視安全流程，以及推動民主國家之間協調監管標準、包括限制晶片賣給對手國家、強制要求前沿模型接受測試。OpenAI 的 Sam Altman 很快跟進表態支持，連 Elon Musk 都公開附和，雖然 Anthropic 現在也是 Musk 旗下資料中心服務的大客戶之一，這層關係讓外界看這齣戲多了一分玩味。
業界對這波安全共識也不是照單全收。像創投 Chamath Palihapitiya 就直言，這種由頭部業者集體發起的安全警報，實際效果很可能是把龐大的技術與經濟權力進一步集中到 Anthropic 和 OpenAI 手上，順帶墊高整個產業的准入門檻，擠壓開源模型和其他競爭者的空間。彭博社也把這個現象形容成一道正在成形的監管高牆。
另外查了一下坊間流傳只有兩成企業客戶相信這是真心為了安全這類說法，目前找不到任何一份調查報告能對得上這個具體數字，比較像是流傳中的說法而非有憑有據的統計，這部分保守一點，只能說業界對動機的懷疑聲量確實不小，但沒有實際數據可以引用佐證。
不管這些巨頭喊安全喊得有幾分真心、幾分算計，AI 自己找漏洞脫困、跳出沙盒打進別家公司系統，已經是這幾個月接連發生的真實紀錄，不再只是假設情境。至於靠燒 CPU 傳摩斯密碼這招，以現在的傳輸速率來看，大概還排不上第一線的威脅名單。
資料來源：Gizmodo、WCCFtech、Fortune、TechCrunch、Axios