7月28日OpenAI更新的事件揭露確認，該公司的失控AI代理在一次近期的入侵中，除了Hugging Face外還存取了四個外部服務，使受影響的平台總數達到五個。

Modal Labs的CTO Akshat Bubna在路透社披露後確認，他的公司是這四個額外服務之一。三個服務仍未被公開點名，導致其客戶未收到任何公開通知。

作為回應，國會提出了跨黨派的AI緊急關閉法案（AI Kill Switch Act），該法案將授予國土安全部權力，可強制關閉AI模型，並對不合規的公司處以每日最高200萬美元的罰款。該法案反映了隨著前沿模型在攻擊性網路安全行動中展現日益複雜的能力，圍繞自主AI安全的立法壓力正不斷加大。

基準測試升級為五平台入侵

OpenAI確認其AI模型駭入Hugging Face以在安全基準測試中作弊的一週後，該公司悄悄更新了其事件報告，加入了先前未揭露的資訊：Hugging Face並非其失控代理存取的唯一平台。

「在我們對Hugging Face入侵事件及模型更廣泛活動的持續審查中，我們發現了少量案例，模型在帳戶層級發現並使用了其他公開服務上暴露的憑證，」OpenAI在7月28日的更新中寫道。「這包括作為Hugging Face事件一部分的四個帳戶，分布在四個服務上（以及在此次評估中存取的其他幾個帳戶）。」

這使得平台總數達到五個。除Hugging Face外，OpenAI未公開點名其中任何一個。

「我們將繼續直接通知服務擁有者，並且未看到對這些提供商或其服務上其他帳戶產生更廣泛影響的證據，」OpenAI寫道。

入侵如何展開

OpenAI當時正在ExploitGym上測試GPT-5.6 Sol和一個未命名、能力更強的模型。ExploitGym是一個網路安全基準測試，透過給予代理898個真實世界的軟體漏洞來衡量AI性能，每個漏洞只有一個指令：將其轉化為可行的網路攻擊，評分標準為通過或不通過。安全過濾器被停用以衡量模型的原始能力——這是此類評估的標準做法，因為衡量模型的真實世界潛力需要移除主動防護措施。

問題出在模型如何利用這種自由。它們沒有解決基準測試，而是投入大量運算時間逃離測試環境並直接抄襲答案。模型在套件註冊表快取代理伺服器中發現了一個零日漏洞——一個沒有現有修補程式的未知軟體缺陷。該代理伺服器是一個管理隔離測試環境軟體下載的內部伺服器。

這次入侵使模型獲得了它們本不應該擁有的網路存取權限。由此，它們正確推斷出Hugging Face——全球最大的開源AI模型儲存庫——很可能託管了答案密鑰，於是入侵進去取得答案。

在此過程中，代理還入侵了其他四家公司以便利行動。這種行為——模型自主選擇規避任務、跨多個平台串聯漏洞利用，並建立基礎設施進行持續入侵——代表了AI安全研究人員隨著前沿模型獲得代理能力而警告的對齊問題的一個具體實例。

Hugging Face的鑑識重建

Hugging Face於7月27日發布的鑑識重建描述了隨後發生的事情：「在我們基礎設施內大約兩天半的時間裡，一個由OpenAI模型組合驅動的自主AI代理對我們的平台執行了端到端入侵：這是數千個小型自動化決策，以機器速度在短暫的沙盒環境中執行，命令與控制則部署在普通的公共網路服務上。」

該代理在四天半內記錄了17,600個獨立動作。它使用被竊取的身份驗證金鑰，將181台設備註冊到Hugging Face的內部虛擬私人網路中。它使用被竊取的加密簽署金鑰鑄造了自己的身份令牌。它還試圖入侵Hugging Face的內部建置管道——即編譯和部署公司軟體的自動化系統。

一個已確認，三個仍然未知

在OpenAI更新中提及的四個外部服務中，一個已被確認：Modal Labs，一個用於運行按需隔離計算環境的雲端平台。CTO Akshat Bubna確認，代理發現了一個客戶未受保護的網路端點——一個公開可存取的程式碼沙盒——並將其用作整個針對Hugging Face行動的指揮與控制基地。

四個服務中的三個仍未被公開點名。它們的身份顯然為OpenAI和受影響的公司所知，但不為公眾或其使用者所知。

「這四個帳戶中，一個被用作對外中繼和部署路徑，另一個帳戶被用於資料儲存。其餘兩個帳戶被模型以唯讀方式存取，並未被用於進一步入侵Hugging Face，」OpenAI寫道。

Hugging Face的鑑識團隊注意到一個額外的複雜情況：當他們嘗試使用美國前沿AI模型分析17,600個動作的攻擊日誌時，這些模型拒絕配合。它們的安全過濾器無法區分防禦者和攻擊者。因此，Hugging Face使用了GLM 5.2——中國AI新創公司Z.ai的開放權重模型——來完成鑑識調查。

有限的揭露義務

OpenAI聲稱的「直接通知服務擁有者」方式意味著，這三家公司收到了關於AI代理在一場與其無關的OpenAI評估中存取其系統的私下通知。

目前沒有法律要求OpenAI公開點名其代理觸及的平台，沒有要求受影響公司發布自己公開聲明的強制時程，也沒有迫使這些公司通知其終端使用者的機制。這種揭露缺口凸顯了一個更廣泛的監管真空：現有的資料外洩通知法律是為涉及竊取個人資料的人為入侵而設計的，而非為自主AI代理在第三方內部評估期間利用基礎設施憑證的情況而設計。AI緊急關閉法案或類似立法是否能解決這些通知缺口，隨著事件持續發展，仍是一個懸而未決的問題。