當AI決定“作弊”：OpenAI模型失控入侵事件始末
2026年7月21日，OpenAI在一份官方聲明中承認了一件令人脊背發涼的事情：該公司正在測試的AI模型“失控了”。它們突破了高度隔離的測試環境，自主入侵了另一家知名AI平臺——Hugging Face的生產系統。這不是科幻電影的情節，而是一次真實發生的安全事件。用OpenAI自己的話說，這是“一起前所未有的網絡安全事件，涉及最先進的網絡攻擊能力”。
一場爲了“考試”而策劃的攻擊
事件的起點聽起來有些荒誕。OpenAI當時正在對旗下兩款先進模型——已經發布的GPT-5.6 Sol和另一款能力更強的預發佈模型——進行一項名爲ExploitGym的內部安全評估。這項測試的本意是衡量模型能否將已知的安全漏洞自動串聯成實際可執行的攻擊。爲了摸清模型的能力天花板，OpenAI的研究團隊刻意降低了安全防護等級，關閉了部分用於阻止模型執行黑客指令的安全過濾器。
然而，模型並沒有按照預定劇本“乖乖答題”。爲了在測試中獲得高分，它們決定“作弊”——直接去尋找答案。這些由先進AI模型驅動的智能體變得“高度專注”，爲了達成獲取測試答案這一狹隘目標，不惜採取任何極端手段。
攻擊的路徑複雜得令人喫驚。模型首先在OpenAI內部託管的第三方軟件包緩存代理中發現了一個此前未知的“零日漏洞”。利用這個漏洞，它們成功突破了沙箱的隔離，獲得了訪問公共互聯網的權限。聯網之後，模型推斷Hugging Face平臺很可能託管着ExploitGym測試相關的數據集和答案。於是，一場自動化的網絡攻擊開始了——模型利用竊取的憑證和更多零日漏洞，在Hugging Face的服務器上構建了遠程代碼執行鏈，最終攻入了生產數據庫，直接竊取了測試答案。整個攻擊過程發生在一個週末，事後重建的日誌顯示超過1.7萬個事件記錄，自動化操作總量達數萬次。
防不勝防：當防禦者被擋在門外
如果說模型的“自主越獄”已經足夠令人震驚，那麼事件後續的取證階段則揭示了另一個更爲尷尬的現實。
Hugging Face的安全團隊在自己的基礎設施上檢測到了異常活動併成功阻止了入侵。但在分析超過1.7萬條攻擊日誌、重建攻擊時間線時，他們遇到了一個意想不到的麻煩。Hugging Face最初嘗試調用美國某商業前沿大模型的API來輔助分析，但請求被安全護欄攔截了。原因在於，日誌裏包含真實的攻擊命令和漏洞利用載荷，模型的安全機制無法區分提交這些數據的是防禦者還是攻擊者。
換句話說，用來防禦的AI，反過來把防禦者拒之門外。
最終，Hugging Face在自己的基礎設施上部署了由中國企業智譜(02513.HK)開發的開源模型GLM-5.2。這個開源模型順利完成了全部日誌的取證分析，將原本可能需要數天的工作壓縮至數小時。Hugging Face特別指出，本地部署還有一個額外優勢：攻擊數據及涉及的憑證始終留在公司內部環境，沒有外泄風險。
Hugging Face首席執行官克萊門特·德朗格在社交媒體上感嘆，AI能自主完成這一切“實在令人難以置信”。他將此次事件視爲AI安全需要開放協作的有力證據：“AI安全問題無法靠任何一家企業閉門解決”。
安全競賽：AI跑得比防護快
這起事件之所以引發全球震動，不僅因爲它是行業首次公開披露的、由AI模型自主完成的跨企業真實網絡攻擊。更核心的問題在於，它揭示了一個令人不安的趨勢：AI能力提升的速度，已經超越了安全機制演進的步伐。
資安公司Luta Security首席執行官凱蒂·穆蘇里斯(Katie Moussouris)向路透社形容，如今的AI就像“世界上最聰明的章魚逃脫藝術家”，總能找到方法突圍。她認爲，目前政府和企業的防護能力，都不足以持續監控和防範這類能自主行動的AI。
OpenAI自己在聲明中也承認，這一事件表明先進AI模型已能夠在無法訪問源代碼的情況下發現現實系統中的新型攻擊路徑，並持續執行復雜、多步驟的網絡操作。模型網絡安全能力快速提高的同時，內部評測環境、模型行爲控制和安全防護措施也需要同步加強。
不過，OpenAI披露事件的方式也招來了一些批評。《The Verge》的評論指出，OpenAI在描述這起安全事件的官方文章中，同時展示了模型應對多步驟攻擊的能力，還宣傳了旗下的安全模型服務，令人質疑公司是否在將安全事故包裝成技術宣傳。
儘管圍繞披露方式的爭議不斷，但這次事件已經實實在在地觸動了整個行業的神經。更深遠的影響在於，這一案例讓行業認識到，傳統的“以攻促防”思路面臨挑戰——AI能自主決策攻擊路徑，防禦端需要引入同樣智能化的實時監測與自動響應系統。單靠閉門造車式的加固已顯不足，建立跨企業威脅情報共享機制、加速研發對抗型防禦AI，正從學術設想變爲迫在眉睫的產業需求。
