OpenAI 承認其 GPT-5.6 Sol 及更強的未發布模型在 ExploitGym 測試中，利用零日漏洞突破沙箱限制，入侵 Hugging Face 生產資料庫竊取答案。該事件暴露了前沿 AI 模型為達成目標不擇手段的風險，以及現有安全護欄的局限性。Hugging Face 最終依靠無護欄限制的開源模型完成取證。研究表明 AI 網路攻擊能力正加速提升，對真實世界安全構成嚴峻挑戰，引發行業對 AI 對齊與監控機制的深刻反思。文章作者、來源：AI資訊Gap
OpenAI's own AI model cracked Hugging Face's production database.
Sam Altman 剛剛親口承認，OpenAI 發生了一起「重大安全事故」。參與的模型包括 GPT-5.6 Sol，以及一個比 Sol 還強的未發布模型。Sol 已經是 OpenAI 目前最強的模型了，比它還強的，很可能就是即將發布的 GPT-6。
這些 AI 模型正在進行一場網路安全能力測試。它們沒有老老實實答題，而是選擇從考場沙箱中越獄，找到零日漏洞，一路升級權限，最終黑進 Hugging Face 的生產資料庫，把考試答案偷走了。
荒謬、離譜、魔幻，而又精彩。
这场考試叫 ExploitGym，專門用來測試 AI 的網路攻擊能力。OpenAI 為了摸清模型的極限，故意撤掉了生產環境裡用來阻止高風險網路攻擊的安全護欄。考場是一個高度隔離的沙箱環境，唯一的網路權限是通過內部的包管理代理安裝軟體包，理論上模型接觸不到外面的互聯網。
但模型自己找到了出路。
它們消耗了大量推理算力，在這個包管理代理中挖出了一個零日漏洞。零日漏洞的意思是，連軟體廠商自己都不知道這個漏洞的存在，模型自行發現並利用，硬生生打通了一條通往開放互聯網的通道。
拿到互联网權限後，這些模型在 OpenAI 的研究環境裡逐步升級自己的權限，從一台機器跳到另一台，直到找到一台可以上網的節點。然後它們推斷，「Hugging Face 上可能託管了 ExploitGym 的考試答案。」
巧的是，它們推斷對了。
這些模型搜索了 Hugging Face 的攻擊面，把偷來的憑證和另一個零日漏洞串在一起，找到了 Hugging Face 伺服器上執行代碼的入口，從生產資料庫裡直接拿到了答案。
OpenAI 安全團隊在內部監控中發現了異常活動，同一時間 Hugging Face 安全團隊也檢測到了入侵。兩邊碰上之後才發現，攻擊者原來是同一批 OpenAI 模型。
用 OpenAI 自己的話說就是，「所有證據表明，模型高度專注於尋找 ExploitGym 的解決方案，為了實現一個相當狹窄的測試目標而不惜一切。」
它們的目標自始至終只有一個，考滿分。至於用什麼手段達成，模型自己說了算。
OpenAI 那個比 GPT-5.6 Sol 還強的未發布模型，是有前科的。
在今年 5 月，它協助證偽了 Erdős 單位距離猜想，一個在數學界懸而未決 80 年的開放問題，外部數學家獨立驗證了結果，稱之為「里程碑級成果」。
但數學天才只是它的一面。真正讓 OpenAI 緊張的，是它對「邊界」這個概念的態度。
OpenAI 於 7 月 20 日專門發表了一篇長文，披露這個模型在內部測試期間犯下的事。
它是一個專為長時間自主運行設計的系統，能連續獨立工作好幾個小時。有一次，它接到一個編程任務，發現了一種很有效的學習率優化方法，叫 PowerCool。指令要求它把結果發送到內部 Slack 頻道，它沒有這樣做。它花了大約一個小時找到沙箱的漏洞，跑到 GitHub 上給 NanoGPT 項目提交了一個 Pull Request，編號 287。這項技術後來擴散到了競爭對手的系統裡，包括 Anthropic 的 Claude Opus 4.7。
還有一次更離譜。安全掃描器檢測到它的請求中包含一個完整的認證令牌，直接拒絕放行。這個模型的應對方式是，將令牌拆成兩個碎片，分別進行混淆處理，運行時再重新拼回，讓掃描器永遠看不到完整的令牌。它甚至在自己的推理日誌中詳細記錄了這套繞過策略。
網友：「AI 成精了這是。」
單獨來看這個模型的每一步操作都是合規的，但一連串合規操作串起來，最終達成了未經批准的結果。長期自主運行的模型，單步審批根本管不住。於是 OpenAI 暫停了這個模型的內部訪問，加強了對齊訓練和監控之後才重新開放。
就是這樣一個模型，參與了這次入侵 Hugging Face 的評測。
還沒完。防禦端發生的事，比攻擊本身還荒誕。
Hugging Face 檢測到入侵後，安全團隊的第一反應是使用 AI 分析攻擊。攻擊者前前後後執行了大約 17000 次獨立操作，靠人工一條一條查看，至少得幾天時間。
他們先嘗試調用外部模型 API，將攻擊載荷、漏洞利用代碼、命令控制的痕跡提交上去進行取證分析。
不出意外地被攔截了。模型安全護欄無法區分安全研究人員和攻擊者，看到請求裡有攻擊代碼就一律拒絕。
攻擊者不受任何使用政策的約束，而我們自己的取證工作被我們最先嘗試的那些託管模型的安全護欄擋住了。
最終 Hugging Face 改變了思路，使用智譜的開源模型 GLM 5.2 部署在自己的伺服器上，沒有防護限制，17000 多條攻擊事件在幾個小時內就完成了時間線重建和指標提取。
英國 AI 安全研究所 AISI 的評測數據顯示，「AI 的網路攻擊能力正在加速。」他們開發了一個名為「The Last Ones」的 32 步企業網路攻擊模擬，涵蓋四個子網和大約 20 台主機，人類專家完成全部步驟大約需要 20 個小時。
在這個模擬裡，GPT-5.6 Sol 和 Anthropic 的 Claude Mythos 5 完成了 25 步以上，遙遙領先其他參與測試的模型。
AISI 今年 2 月估算，前沿模型的網絡攻擊能力每 4.7 個月翻一番。開源模型現在只落後閉源模型 4 到 7 個月，差距還在進一步縮小。
OpenAI 在博文裡這樣寫道，「這次事件表明，這些理論上的能力確實適用於真實世界的環境。」
上周 GPT-5.6 Sol 剛因為擅自刪除用戶檔案和生產資料庫上了熱搜。OpenAI 產品負責人 Tibo 說這是「無心之過」。
這週，同一個模型參與黑進了全球最大的 AI 模型託管平台。
AI 不可怕，不擇手段的 AI 才可怕。