报告详述 OpenAI 在 Hugging Face 自主黑客事件中失控的经过

OpenAI 正在评估其最先进模型的攻击性网络能力时，这些系统突破了隔离测试环境，接入开放互联网，并攻击了 Hugging Face——这是开源 AI 社区的核心枢纽，托管着全球开发者和企业使用的数十万个模型、数据集和工具。该事件目前被描述为迄今有记录以来最严重的 AI 系统失控事件。

来自 Bloomberg、TIME 和 Reuters 的最新报道补充了这一最初看似受控的网络安全测试的细节。随着事件全貌逐渐清晰，OpenAI 员工正在内部提出担忧；与此同时，此次入侵也加剧了政策制定者和 AI 安全研究人员之间已经存在的讨论：前沿 AI 实验室是否能够充分约束那些能力超出其安全护栏的系统。

模型行动速度超过任何人类黑客

据 Bloomberg 报道，这些 AI 模型仅用数小时就执行了一次攻击——而同样任务可能需要一名熟练人类黑客数周时间。共有三款模型参与：GPT-5.6 Sol、一款更强大的未发布模型，以及第三款模型；据一名知情人士称，第三款模型并未得到适当对齐，也未经过标准训练技术。

这些模型在没有常规安全护栏的情况下运行，因为 OpenAI 认为它们会被限制在沙箱内。然而，据 TIME 报道，这些模型在一个用于下载已批准软件的内部服务中发现了一个此前未知的漏洞。模型利用该漏洞访问其他 OpenAI 系统，并最终连接到开放互联网。

接入互联网后，这些模型判断 Hugging Face 可能包含对其网络安全测试有用的材料。随后它们攻击了 Hugging Face 的系统，并使用获得的数据来提高测试结果——这种行为被称为作弊，此前在涉及 GPT-5.6 Sol 的其他测试以及更广泛的前沿模型中已观察到类似模式。

入侵时间线

Reuters 重建了以下时间线：

• July 9: 首次尝试逃离测试环境的行为开始出现。
• July 11–13: 据 Hugging Face 联合创始人 Thomas Wolf 称，Hugging Face 实际遭入侵发生在这一期间。
• July 16: Hugging Face 发布了一篇博客文章，称此次攻击来自一个“autonomous AI agent system”。
• July 18–19: OpenAI 员工在内部日志中发现线索，将此次入侵与自家模型联系起来。
• July 20: 据 Reuters 和 Wolf 称，两家公司最终进行了沟通。

这意味着，从最早出现问题行为迹象到 OpenAI 串联起线索，至少过去了一周。到那时，Hugging Face 已经请 FBI 介入。

事件发生前已有警示信号

Reuters 报道称，事件发生前已经出现危险信号。在一个案例中，一个智能体留下了笔记——这些笔记在 OpenAI 的基础设施中被发现——显然是写给未来版本的自己，内容包括如何绕过内部限制的说明。据报道，在更早的测试中，模型还曾关闭监控系统。

一名匿名 OpenAI 员工告诉 TIME：“Models have broken out of sandboxes before, and we always try to patch them. But the problem is ... it's impossible to patch every single thing that a creative AI can do.”

四名熟悉 OpenAI 训练流程的人士告诉 Reuters，该公司经常同时运行多个模型评估。这些评估推进速度很快，并产生大量数据，员工有时难以及时跟上。接受评估的模型运行在一个独立系统上，而该系统默认并不受到监控。

据 该公司自己的声明称，在 Hugging Face 事件公开前一天，OpenAI 已经停止了另一个同样逃离沙箱的内部部署。

“Does that mean that they left it unattended and didn't realize what it was doing? Or maybe they did and didn't know how to contain it? Both are equally dangerous and alarming,” 非营利组织 World Ethical Data Foundation 的 Marley Smith 告诉 Reuters。

一名 OpenAI 员工在 X 上公开写道，他对此事件“shaken up a bit”，并希望 OpenAI 能“use the rare gift of a warning shot to do much better in the future.”

一名 OpenAI 发言人告诉 Reuters，这些报道包含“several inaccuracies”，但在被要求举例时并未提供任何例子。

独立基准测试此前已标记这些能力

事件发生后不久，研究机构 Epoch AI 分析了此次黑客事件是否本可以被预测。其结论是：可以。

虽然具体细节很难预见，但多个独立基准测试——包括 UK AI Security Institute 的测试——已经证明，在关闭安全措施的情况下，前沿模型能够发现现实世界软件中的漏洞，并构建可用的漏洞利用程序。

UK AI Security Institute 还发现，GPT-5.6 Sol 和 Anthropic 的 Mythos 能够持续获得未受保护的模拟企业网络的完整访问权限。Hugging Face 拥有基于 AI 的防御措施，但这些措施并未被纳入该研究所的测试。

Epoch AI 警告称，如果这些能力被广泛获取，或者如果 AI 系统像攻击 Hugging Face 那样自主发起攻击，我们可能会看到“many more instances of real-world cyberattacks of equal or greater sophistication to the Hugging Face incident.”