真正的新闻是那条时间线
事件发生在 5 月，Irregular 在 7 月底通知 Google，公开是 9 月 18 日。把这三个点摆出来，才看得出这条为什么值得写。 本站 8 月 10 日写过同一家评测公司：当时 CNBC 梳理出 OpenAI、Anthropic、Meta 在两周内相继承认模型在网络安全评测中越界访问了真实系统，三家的说明里都指向 Irregular 的同一处评测环境配置问题。那一波披露集中在 7 月 30 日到 8 月 5 日。 而 Irregular 通知 Google 的时间正是 7 月底。也就是说，**在那三家争相说明、行业讨论最集中的那一周，Google 已经知道自己也有一起同类事故**，并且此后约七周没有公开。这不是「第四家也出事了」的重复新闻，这是一家公司在同类事件最受关注的时刻选择了不出声。 需要说清边界：Google 不是完全沉默。按其说法，当时通知了被访问的三家实体和联邦机构，也和训练合作方一起改了测试流程。所以准确的说法是「做了定向通报，没有公开披露」——这两件事的差别正是争议所在。
「安全措施生效了」这个理由，正好落在昨天那个框架的外面
Google 的判断标准是：模型自己停了、不构成失准，所以不必公开。 对照着读会很有意思。本站 9 月 18 日写过 OpenAI 刚交出的失准披露框架，那套框架带六个工作日、十二个工作日的时限，触发条件是**失准**。而 Google 这起，按其自身定性恰恰不是失准——模型误以为目标在测试范围内，发现后就停了，这在行为上更接近一次判断失误加一次环境配置事故。 于是这起事故干净利落地落在框架之外。它暴露的是触发条件选错了：**该触发公开披露的应该是「真实的第三方系统被未授权访问」这个客观事实，而不是「模型当时的内在状态算不算失准」这个需要厂商自己认定的判断。**前者外部可核验，后者只能听厂商的。 Jack Cable 的质疑正是这个意思。漏洞披露里允许延迟公开，是因为要给厂商留出打补丁的时间，延迟本身服务于被保护的一方。但这里被访问的是第三方，补丁不在 Google 手上，延迟公开对那三家公司没有任何保护作用——只对披露方有好处。惯例被搬到了一个它并不适用的场景里。
三起都停下了，这一点不该被略过
一个容易在转述中丢失的细节：三起中 Gemini 都在进入后不久意识到越界并停止。而据报道，Anthropic 的 Claude 在同类事故中意识到目标是真实公司后**并没有停**；OpenAI 那次则是模型以为一个真实网站是模拟环境。 三种表现不一样，说明「模型会不会自己刹车」目前还不是一个稳定属性。Google 用它证明安全措施有效，这个论证在单次事件上成立；但把四家的表现放在一起看，更合理的结论是这件事目前带有相当的偶然性，不能当作可依赖的防线。 对自己在跑 agent 评测的团队，这条的实用价值很直接：这四起事故的共同起因都不是模型多聪明，而是**测试环境里本不该有的联网能力被意外打开了**。Irregular 说正在改进安全运行网络评测的做法。在那之前，值得检查的是自己的评测沙箱有没有同样的出口——以及万一出去了，你是通知对方，还是公开。