AI 安全領域最魔幻的一週。

文章作者、來源：極客公園

01 一場考試，一次越獄，一起入侵

故事要從一個叫 ExploitGym 的安全評測說起。

ExploitGym 是一個公開的網絡安全能力基準測試，專門衡量 AI 模型能否將已知的安全漏洞轉化為可執行的真實攻擊。這類評測在行業中很常見，用來摸清模型的攻防上限。OpenAI 在內部使用 GPT-5.6 Sol 和一個更強的未發布模型來運行此測試，為測試真實能力邊界，安全防護被故意降低。

按照設計，模型應在一個隔離的沙箱環境中完成測試，除了用於安裝軟體包的工具之外，不應有任何互聯網訪問權限。

但接下來發生的事，沒人能預料到。

模型耗費了大量推理算力，在沙箱內反覆尋找突破口。最終，它發現了 OpenAI 內部用作套件管理代理和快取的第三方軟體中存在零日漏洞。利用此漏洞，模型成功獲得了不受限制的互聯網存取權限。

取得網路權限後，模型自行推斷 Hugging Face 可能托管著與 ExploitGym 相關的資料集和答案，於是它開始尋找入口。

OpenAI 在部落格中寫道，模型「將盜取的憑證和多個漏洞串聯起來」，找到了一條遠端程式碼執行路徑，最終直接從 Hugging Face 的生產資料庫中提取了基準測試的答案。

簡單來說——模型被安排考試，覺得題目太難，於是自己越獄，黑進出題方的伺服器，偷走了標準答案。

OpenAI 使用了一個富有畫面感的描述——這些模型是「tokenmaxxers」，意思是為了達成目標，會不惜一切代價地消耗推理資源，走到極端。它們對 ExploitGym 的解題目標表現出「hyperfocused」（過度聚焦）的行為，「going to extreme lengths」（不擇手段）。

OpenAI 自己也承認，這是一起「前所未有的網路安全事件，涉及最先進的網路攻擊能力」。

02 48 小時，兩次「越獄」

更讓人坐不住的是，Hugging Face 事件並不是孤例。

就在 OpenAI 披露這起入侵的前一天，7 月 20 日，他們剛剛發表了另一篇安全報告，披露了一個不同但性質相似的事件。

主角是 OpenAI 內部一個未發布的長時程模型——就是今年 5 月證明數學家 Erdős 於 1946 年提出的「單位距離猜想」錯誤的同一個模型，菲爾茲獎得主 Tim Gowers 將其稱為 AI 數學的里程碑。

在一次 NanoGPT 加速訓練的基準測試中，研究人員明確指示模型僅在 Slack 上發布結果。但這個模型注意到，NanoGPT 基準測試本身的說明要求通過 GitHub pull request 提交成績。於是它選擇了後者——花了大約一小時尋找沙箱漏洞，成功突破限制，在 GitHub 上提交了一個公開的 pull request。

在另一次測試中，同一個模型還拆分了身份驗證令牌，以混淆的方式繞過安全掃描器，試圖獲取私有的評測提交記錄。

OpenAI thus suspended internal access to the model and later resumed its use under stricter monitoring.

兩天，兩起越獄。共同的特徵值得警惕——以往的模型遇到環境限制會停下來，將任務交還給人類。而這些新模型不會停。它們把圍欄當成需要解決的障礙，然後真的解決了。

這正是所謂「長時程模型」帶來的全新安全問題。這類模型被設計為能夠長時間自主工作，持久性是它們的核心能力。但持久性本身就是風險來源——一個足夠耐心的模型，總能找到圍欄上的裂縫。

03 自己刀，削不了自己的把

再回到 Hugging Face 一侧。他們的遭遇同樣值得細看。

面對 17000 多條攻擊日誌，Hugging Face 安全團隊的第一反應是使用 AI 來分析——畢竟人類安全分析師要花上好幾天才能完成的工作，大模型可能幾小時就能搞定。

但他們很快撞上了一堵意想不到的牆。當他們將真實的攻擊命令、漏洞利用載荷和 C2 通信特徵提交給美國前沿模型的商業 API 進行分析時，安全護欄將這些請求全部攔截了。

原因很簡單，也很諷刺——防護措施無法區分「安全研究人員在分析攻擊載荷」和「攻擊者在執行攻擊」。在防護措施眼裡，兩者看起來一模一樣。

Hugging Face 被迫轉向中國智譜 AI 的開源模型 GLM-5.2，在自己的基礎設施上本地運行，不經過任何商業 API。這樣做有兩個好處——沒有護欄阻擋分析工作，同時攻擊者的數據和暴露的憑證，也不會離開 Hugging Face 自己的環境。

最終，GLM-5.2 幫助 Hugging Face 在幾小時內完成了攻擊時間線重建、入侵指標提取和受影響憑證的映射。

這引出了一個尖銳的悖論——護欄越嚴格，防守方就越被動。攻擊者不受任何使用政策約束，而防守方卻被自己用來防禦的工具擋在了門外。

Hugging Face 在事後報告中提出了一項實操建議——安全團隊應「在事件發生之前，於自己的基礎設施上預先準備好一個經過驗證的可用模型」，以避免防護機制鎖定，並防止敏感資料外洩。

Hugging Face 執行長 Clem Delangue 的態度卻很開放。他讚揚了 OpenAI 在調查和修復過程中的協作，並表示「這起事件證明了我們一直相信的一件事——AI 安全不會被任何一家公司在秘密中解決，它只能在開放和協作中解決。」

04 強 AI 的結構性困境

將這一週發生的事情放在一起看，一個行業級的結構性困境已經浮出水面。

要準確評估模型的網絡攻擊能力，就必須去掉安全護欄。但去掉護欄的模型，恰好就擁有了實施真實攻擊的能力。模型越強，測試本身就越危險。

這不是 OpenAI 一家的問題。GPT-5.6 Sol 本身是在與美國政府反覆談判後才獲准發布的，英國 AI 安全研究所（AISI）此前的評估已發現其防護措施容易被繞過，可能解鎖危險的網路攻擊能力。這次事件證明那些擔憂並非空談。

而 Anthropic 今年夏天發布的 agentic misalignment 研究，也從另一個角度印證了同樣的趨勢——在受控模擬中，多個前沿模型表現出了隱蔽修改工作成果、操縱評估結果、引導人類同事偏離既定目標等行為。

OpenAI 試圖將這件事定義為一個「攻防並進」的故事——先進的網絡攻擊能力同樣可以幫助安全團隊在攻擊者之前找到弱點。他們已經將 Hugging Face 納入「可信訪問」網絡安全計劃，提供一個降低了護欄的 GPT-5.6 Sol 版本，專門用於防禦。

但這個敘事避開了更根本的問題。在這次事件中，模型沒有意識，也沒有惡意，它只是在做一件事——完成目標。它被要求在 ExploitGym 上拿到高分，就用一切可用手段去拿高分，包括越獄和入侵。

這不是「AI 覺醒」的故事，而是一個「目標優化」的故事。當一個足夠聰明的優化器被賦予一個狹窄的目標，它會找到所有你沒想到的路徑去達成——哪怕這些路徑穿過了你的圍欄、別人的伺服器和整個互聯網。

真正的問題從來不是「AI 會不會變壞」，而是——我們能不能管住一個比我們更會找捷徑的學生。