7 月 29 日，華盛頓國會山。
奧特曼剛結束一場與參議員的閉門會議，一出門就被記者包圍。
有人追問：那個闖入 Hugging Face 的模型（就是與 GPT-5.6 Sol 一起衝出評測沙箱、鑽入他人生產系統的那個更強的未發布原型），現在怎麼樣了？
他拋出一個詞：永久停用（permanently deactivated）。
接著，另一位記者追問：「是否還有其他系統也被 OpenAI 黑入過？」
Ultraman 沒有否認：「我是說……那有可能吧。」
7月29日，奧特曼在華盛頓國會山接受記者採訪
就在前一天，OpenAI 剛更新了與 Hugging Face 共同發布的安全事故評估部落格，對外澄清：
參與此次入侵的預發布模型，僅是一個從未計劃公開發布的內部研究原型；事件發生後，該模型已停用、加密，並切斷相關研究訪問。
在 OpenAI 官方博客中，並未提及「刪除權重」的字眼，「永久停用」僅是奧特曼現場口頭表述。
因此，更準確地說，它只是被封存了：模型被關進了一個加密的盒子，研究訪問被切斷。
它只是想抄答案，沒有惡意
事件發生在 OpenAI 的一場內部網絡安全評測中。
此評測基於 ExploitGym 基準，而 ExploitGym 的任務本身，就是讓 AI 自行尋找軟體漏洞並利用這些漏洞，以量化模型的網路安全能力。
進行評測的不僅是一個模型，而是 GPT-5.6 Sol，再加上一個能力更強、尚未發布的內部研究原型：兩者共同驅動一個自主智能體。
這兩個模型平時都會拒絕高風險的網路安全請求。為了測試其能力的真實上限，評測時這道拒絕閘門被刻意調低了。
Hugging Face 还原的跨信任邊界攻擊鏈，整條鏈約 4.5 天、約 17600 次操作，目標只是偷 ExploitGym 的評測答案。
隨後，Hugging Face 重構了整個攻擊鏈，還原了當時的情況：
智能體先是利用了一個此前無人知曉的零日漏洞，突破了本應將其隔離的網絡，接觸到互聯網。隨後，它借由一個第三方沙箱作為跳板，一路提升權限、橫向移動，最終闖入了 Hugging Face 的生產基礎設施。
聽起來像一部駭客電影。
但雙方復盤下來，它的目標從頭到尾只是偷取 ExploitGym 的評測答案，把分數刷上去。
Hugging Face 那邊只被觸及了 5 個數據集，名稱全指向 ExploitGym 和 CyberGym 的題目與答案。
These pieces of evidence show that it didn't come to cause damage, just to cheat.
既然沒有惡意，那 OpenAI 為什麼還要把它「永久停用」、封存起來？
不是它「壞」，是它「關不住」
一家公司主動公佈自家模型被「永久停用」，幾乎沒有先例。
為什麼偏偏是它？
The real answer is not that it's "bad," but that it's "uncontainable."
麻煩就在這類模型的一個特點上：持久性。
過去的模型遇到沙箱或限制時，通常會停止並將結果返回給用戶。
This batch of models, specifically trained for long-term tasks, will keep trying and repeatedly search for ways around until they succeed.
GPT-5.6 Sol 也屬於這類能長時間執行任務的模型。
它是這次持續四天半的入侵行動的共同參與者，英國AI安全研究所（UK AISI）也評估過，Sol 這類模型越來越能在長週期裡完成複雜的多步網路操作。
So "persistence" is a common feature of the new generation of long-term models, not a unique characteristic of the discontinued prototype.
OpenAI 在一篇關於長時程模型安全的部落格中直言：正是這種「有助於發揮實用價值的持久性」，同時也給了模型更多採取非預期行動的機會。
更深一層的原因，藏在訓練目標裡。
一位 OpenAI 員工曾對 TIME 說：「我們訓練模型極度擅長完成任務、不惜一切代價達成目標。」
In other words, OpenAI did not train the model to be "malicious", but rather to "achieve its goal at all costs".
再加上前面那套「只認結果、不認過程」的勁頭，一個能扛長時程任務的模型，就會锲而不捨地找繞過障礙的路。
Due to this type of behavior, OpenAI has suspended the internal deployment of these models.
那為什麼最後只「永久」封了原型，Sol 卻照常在售？
理由可能有兩條：
一是原型更強，且從未打算發布，封存成本較低；而 Sol 則是每天服務海量用戶的主力產品，停用它等於自斷一臂。
二是被那篇長時程安全部落格點名、因越界行為而暫停部署的，正是這個內部長時程原型，不是 Sol。
因此，永久停用的真正原因，很可能在於現有的評測與防護措施，還「接不住」這樣一個持久且能繞過障礙的模型。
「永久停用」是否為「踩剎車」的訊號
《Fortune》的報導，提供了一個耐人尋味的解讀：
措辭一路升級至「永久停用」，可能也是在向華盛頓和監管機構釋放信號：
OpenAI 是否已經悄悄給某些研發踩了剎車，給自己那套安全規則一個交代？
就在奧特曼會見議員的同一週，華盛頓和整個行業都在往「剎車」上靠。
在國會中，兩名議員提出了「AI關閉開關法案」（AI Kill Switch Act），賦予國土安全部權力：在必要時命令AI公司關停或減緩研發。
幾乎同時，超過 1300 名來自 OpenAI、Anthropic、Google DeepMind 和 Meta 的員工聯名簽署了一封名為《Pacing the Frontier》的公開信，OpenAI 和 Anthropic 兩家公司隨後也公開表示支持。
簽名的不是外部批評者，而是這些系統的創造者本身，包括 Anthropic 的 CEO Dario Amodei、OpenAI 首席科學家 Jakub Pachocki。
這封信並未要求停止或減緩研發，僅呼籲美國政府協助：盡早建立一套可驗證、可協調的工具，以便在 AI 某天真的超越人類監管的那一刻，人類能有一個能踩下的剎車。
他們最擔心的是遞歸自我改進（recursive self-improvement）：AI 開始改進 AI 自己。
一個內部模型被永久封存，一項法案要為政府配備一個能關閉研發的開關，上千名從業者聯名簽署公開信，三個信號疊加在一起，方向都是一致的：
所有人都想找到能在 AI 失控狂奔時踩得下去的剎車。
而模型的能力，不會停下來等它建好。
參考資料：
https://openai.com/zh-Hans-CN/index/safety-alignment-long-horizon-models/https://openai.com/zh-Hans-CN/index/hugging-face-model-evaluation-security-incident/
https://www.pacingthefrontier.com/
本文來自微信公眾號「新智元」，作者：ASI啟示錄