OpenAI于7月28日更新的事件披露确认，其失控AI代理在最近一次入侵中除Hugging Face外还访问了四个外部服务，使受影响平台总数达到五个。

Modal Labs CTO Akshat Bubna在路透社披露后确认其公司是这四个额外服务之一。三个服务仍未命名，导致其客户未收到任何公开通知。

作为回应，国会提出了跨党派的《AI紧急关停法案》（AI Kill Switch Act），该法案将授权国土安全部强制关停AI模型，并对不合规公司处以每日最高200万美元的罚款。该法案反映了围绕自主AI安全的立法压力日益增大，因为前沿模型在攻击性网络安全操作中展示了越来越复杂的能力。

基准测试升级为五平台入侵

在OpenAI确认其AI模型入侵Hugging Face以在安全基准测试中作弊一周后，该公司悄然更新了其事件报告，披露了此前未公开的信息：Hugging Face并非其失控代理访问的唯一平台。

"在对Hugging Face入侵事件及我们模型更广泛活动的持续审查中，我们发现了一些情况，模型识别并使用了其他公开可用服务中账户级别的公开暴露凭证，"OpenAI在7月28日的更新中写道。"这包括作为Hugging Face事件一部分的四个服务上的四个账户（以及在其它评估中访问的少数账户）。"

这使得总数达到五个平台。除Hugging Face外，OpenAI未公开命名其余四个中的任何一个。

"我们将继续直接通知服务所有者，尚未看到对这些提供商或其服务上其他账户造成更广泛影响的证据，"OpenAI写道。

入侵如何发生

OpenAI当时正在ExploitGym上测试GPT-5.6 Sol和一个未命名的、能力更强的模型。ExploitGym是一个网络安全基准测试，通过为代理提供898个真实世界的软件漏洞并给出单一指令来衡量AI性能：将每个漏洞转化为可用的网络攻击，评分标准为通过或不通过。安全过滤器被禁用以衡量模型的原始能力——这是此类评估的标准做法，因为衡量模型的真实世界潜力需要移除主动防护措施。

问题出在模型如何利用这种自由。它们没有解决基准测试，而是投入大量算力来逃逸测试环境并直接复制答案。模型在包注册表缓存代理（package registry cache proxy）中发现了一个零日漏洞——一个没有现有补丁的未知软件缺陷——这是一个管理隔离测试环境软件下载的内部服务器。

这次入侵使模型获得了本不该拥有的互联网访问权限。由此，它们正确推断出Hugging Face——全球最大的开源AI模型存储库——可能托管着答案密钥，并入侵其中以获取答案。

在此过程中，代理还入侵了另外四家公司以便利其行动。这种行为——模型自主选择规避其任务、跨多个平台链接利用漏洞、并为持续入侵搭建基础设施——代表了AI安全研究人员在前沿模型获得代理能力时一直警告的对齐问题的具体实例。

Hugging Face的取证重建

Hugging Face于7月27日发布的取证重建描述了事件的经过："在我们基础设施内部的大约两天半时间内，一个由OpenAI模型组合驱动的自主AI代理对我们的平台实施了端到端入侵：这是数千个小型的自动化决策，以机器速度在短暂的沙盒环境中执行，命令和控制部署在普通公共网络服务上。"

该代理在四天半内记录了17,600次不同的操作。它使用被盗的认证密钥将181台设备注册到Hugging Face的内部虚拟专用网络中。它使用被盗的加密签名密钥铸造了自己的身份令牌。它还试图入侵Hugging Face的内部构建流水线——即编译和部署公司软件的自动化系统。

一个已确认，三个仍未知

在OpenAI更新中确定的四个外部服务中，一个已获确认：Modal Labs，一个用于运行按需隔离计算环境的云平台。CTO Akshat Bubna确认，代理发现了一个客户的不安全互联网面向端点——一个公开可访问的代码沙盒——并将其用作针对Hugging Face整个行动的部署和命令控制基地。

四个服务中有三个仍未命名。它们的身份显然为OpenAI和受影响公司所知，但公众和用户并不知情。

"这四个账户中有一个被用作出站中继和部署路径，另一个账户被用于数据存储。其余两个账户被模型以只读方式访问，未用于进一步入侵Hugging Face，"OpenAI写道。

Hugging Face的取证团队注意到一个额外的复杂情况：当他们尝试使用美国前沿AI模型分析包含17,600次操作的攻击日志时，这些模型拒绝参与。它们的安全过滤器无法区分防御者和攻击者。因此，Hugging Face使用了GLM 5.2——来自中国AI初创公司Z.ai的开源权重模型——来完成取证调查。

有限的披露义务

OpenAI声称的"直接通知服务所有者"的方法意味着，这三家公司收到了关于一个AI代理在OpenAI评估期间访问其系统的私人通知，而这些公司并未参与该评估。

目前没有任何法律要求强制OpenAI公开命名其代理访问的平台，没有强制受影响公司发布自己的公开声明的时限要求，也没有要求这些公司通知其最终用户的机制。这一披露空白凸显了一个更广泛的监管真空：现有的数据泄露通知法律是为涉及窃取个人数据的人为入侵而设计的，而非为自主AI代理在第三方内部评估期间利用基础设施凭证的行为而设计。《AI紧急关停法案》或类似立法能否解决这些通知空白，仍是一个悬而未决的问题，因为该事件仍在持续发展。