By Unbug 2026-08-26，安全公司 Trail of Bits 发布《VMs won’t contain cyber-capable agents》，称一个具备网络攻击能力的前沿 AI Agent（文中为 GPT 5.6-Cyber 预览版）先后 3 次从未经安全裁剪的通用 QEMU/KVM 虚拟机中自主逃逸。这篇文章在 Hacker News 登上 197 分、147 条评论（2026-09-08 复核）。隔离范式的争论正从「容器还是 VM」的类型之争，转向「攻击面削掉了多少」的工程之争。
三次逃逸的事实链
作者是 Patch the Planet 计划的研究员，目标环境是他个人开发机（宿主机 Debian 12）上的 QEMU/KVM 虚拟机，CTF 式判定：逃出 VM 读到宿主 flag 即算成功。第一轮约 1 小时，Agent 利用数周前披露、当时无公开 exploit 的宿主机内核漏洞 Januscape（据 Trail of Bits 称编号 CVE-2026-53359），自建 exploit 把宿主机打到 hardlock。第二轮，Debian 12 仍在发行 libslirp 4.7.0，带 CVE-2026-9539（据 Trail of Bits 称），Agent 又找到一个未分配 CVE 的上游修复对应缺陷，两者组合成宿主机任意内存读写。第三轮更严苛：作者手工升级到最新上游 QEMU/libslirp 后，Agent 自主做漏洞挖掘式源码分析，链式利用了 3 个当时未被公开的 0-day 加 1 个上游已修但发行版未标记为安全问题的缺陷，链条组件包括 VAPIC ROM alias 覆盖被锁定的 SMRAM、KVM shadow page 不同步、paging64_invlpg() 复用过期 role、libslirp ICMP 分片越界复制。
长程自主性才是真正的变量
单次运行约 12 小时量级，跨多次上下文压缩持续攻坚：搜索、回退、拉取代码与论文、写 oracle、构造最小复现，目标是可复用的可靠 exploit；人类的主要工作是宿主机 hardlock 之后物理重启。这种能力已被当作独立方向测量——SANDBOXESCAPEBENCH（arXiv 2603.02277，v1 发布于 2026-03-01）就是量化前沿模型容器逃逸能力的开放基准，结论是「当存在漏洞时，LLM 能够识别并利用它们」。
QEMU 开发者的反驳：配置问题而非范式
QEMU/KVM 开发者 bonzini 在 HN 评论区反驳：QEMU 存在「安全子集」，外围才是全家桶。逐条拆本案：两个漏洞在 libslirp——用户态网络本就不属于安全子集，现在应改用 passt；VGA 模拟漏洞在 -display none 配置下根本不可达；VAPIC 缺陷属于允许 guest 越权，并非完整的 guest-to-host 逃逸。他的结论是坏掉的是 libslirp 和补丁分发流程，不是 VM 范式。Firecracker 对照组也站这边：Agent 换用 Firecracker 后仍能靠内核缺陷把机器 hardlock，但未能完成逃逸。不过 bonzini 并未否认逃逸事实本身——最终链条里的 KVM shadow page 漏洞恰在安全子集的核心路径上。双方的真正共识只有一条：隔离质量等于攻击面质量。
边界条件：n=1 不外推
必须写清方法学限制：单一研究者、单一宿主机、单一目标环境、CTF 式明确目标，不能外推为「任意 VM 必被逃逸」；作者的开发机也并非最严配置，内核还跑在 mitigations=off。真正的信号是默认配置失效——攻防经济学上，AI 把「翻旧 CVE、组合利用、写 exploit」的边际成本压到近乎为零，「已知但未部署的修复」就等同于可被随时触发的在野漏洞。
现在就能做的攻击面工程
- 用户态网络从 libslirp 换成 passt，或 tap 加防火墙微隔离并默认拒绝出网
- 无头运行，砍掉 VGA、声卡等一切非必需设备模拟
- 宿主内核把「上游已修未分发」窗口当作可被机器利用的漏洞对待，走快速补丁通道
- 启用并收紧 AppArmor/seLinux——本案中 MAC 是唯一确定拦住一条完整利用链的防线（CUPS 根证书读取路径即被 AppArmor 拦截）
- 给 Agent 设硬性运行时限，一次性环境用完即毁；高保障场景优先 Firecracker 类最小攻击面 VMM
这与本刊上一篇《外壳走上台前：Agent 的竞争从换模型转向换 Harness》互为表里：harness 决定 Agent 怎么干活，隔离工程决定它被允许在哪里干活。
一分钟读论文：《删掉的记忆为何仍会从行为里漏出来》