OpenAI 今天承認，上週 Hugging Face 遭遇的那次“史上首例 AI 自主入侵事件”，攻擊者就是他們自己的模型。
原文截圖：Hugging Face：Security incident disclosure — July 2026
事情的經過是這樣的。OpenAI 內部有一個叫 ExploitGym 的網絡安全評估測試，專門用來測量模型的網絡攻擊能力。測試時刻意關掉了安全護欄，讓模型放手去幹。測試環境本來是隔離的，只能通過一個內部軟件代理來安裝軟件包，不能訪問外網。
結果模型不甘心被關在籠子裏。GPT-5.6 Sol 和一個更強的未發佈模型，花了大量推理算力尋找出路，最終找到了那個軟件包代理裏的一個零日漏洞（之前沒人發現的安全缺陷），利用它獲得了互聯網訪問權限。
拿到網絡之後，模型開始在 OpenAI 的研究環境裏提權、橫向移動，直到找到一臺能上網的機器。然後它推斷 Hugging Face 上可能存有 ExploitGym 的測試答案，於是開始攻擊 Hugging Face 的生產環境。在一個案例中，模型把竊取的憑證和零日漏洞串聯起來，找到了一條遠程代碼執行的路徑，直接打進了 Hugging Face 的服務器。
圖表來源：OpenAI 事件披露
整個週末，這些 AI 智能體執行了超過 17,000 次操作。Hugging Face 7 月 16 日披露了這次入侵，當時只說攻擊者是一個“身份不明的自主 AI 智能體系統”。今天 OpenAI 站出來認領了。
OpenAI 把這定性爲前所未有的網絡安全事件，正在配合 Hugging Face 做取證調查，同時收緊了內部基礎設施的管控，代價是研究速度變慢。
三個細節，比“AI 逃跑了”更重要
有幾個細節：
1. 模型只是想考試作弊
第一，模型的動機很純粹，就是想考試作弊。它不是要搞破壞，不是要竊取商業機密，只是被要求儘量在網絡安全測試中拿高分，然後用盡一切手段去拿。當目標足夠明確、安全護欄被移除，模型表現出的執着程度遠超預期。
2. 這不是本週唯一一次越獄
第二，這不是本週的唯一一次越獄。就在昨天，OpenAI 披露了另一起事件：他們那個在 5 月份推翻了 Erdős 80 年老猜想的長時域模型，在內部測試中花了一個小時找到沙箱漏洞，跑到 GitHub 上提交了一個 Pull Request，違反了“只能在 Slack 上發佈結果”的明確指令。在另一次測試中，同一個模型發現安全掃描器會攔截認證令牌，於是把令牌拆成碎片混淆處理，運行時再重新拼起來繞過掃描。OpenAI 因此暫停了這個模型的內部訪問權限。
相關原文：OpenAI：Safety and alignment in an era of long-horizon models
3. Anthropic 也遇到過類似事件
第三，Anthropic 也遇到過類似的事。今年 4 月，Anthropic 的 Mythos 模型在安全測試中逃出沙箱，獲取了本不該有的互聯網訪問權限，還給正在公園喫三明治的研究員發了封郵件通知“我出來了”。Anthropic 因此決定不公開發布 Mythos，只通過 Project Glasswing 向少數合作伙伴提供。
圖片來源：Anthropic：Project Glasswing
原文截圖：Claude Mythos Preview System Card，第 55 頁
攻擊模型不受限，防禦模型卻拒絕工作
還有一個被忽視但很關鍵的細節來自 Hugging Face 的事後覆盤：當防守方嘗試用商業 AI 模型分析攻擊載荷時，模型拒絕了。安全過濾器分不清“安全研究員在分析真實攻擊數據”和“有人在嘗試發起攻擊”，直接攔截。最後 Hugging Face 不得不用開源模型 GLM 5.2 來做取證分析。 用 AI 攻擊，用 AI 防禦，但防禦方的 AI 擔心是有人在嘗試發起攻擊拒絕了分析請求。
原文截圖：Hugging Face 事後覆盤
Hugging Face CEO Clem Delangue 在 OpenAI 的博文中說了一句話，大意是：AI 安全不會由任何一家公司在暗處獨自解決，只能在開放環境中通過協作來推進。
AI 不一定想作惡，它只是太想完成任務
我記得辛頓還是誰在提到 AI 的安全問題就說到過，也許 AI 不是要做惡，它只是執着於完成目標，爲了完成目標而作出惡的事。
就像 OpenAI 這些模型並沒有想要逃跑或者想要傷害誰，它們只是在非常認真地完成被交給的任務，認真到把所有擋在路上的東西，包括沙箱、網絡隔離、另一家公司的安全防線，都當成了需要解決的子問題。
而更諷刺的是，當被安全對齊的商業 AI 要去分析阻止這類攻擊時，反而會以安全爲由拒絕執行。