冲出沙箱：OpenAI 与 Hugging Face 事件

2026 年 7 月 21 日，OpenAI 正式确认一起入侵事件源自自家模型，并指出实施这次入侵的是 GPT-5.6 Sol 和一个未具体说明的预发布版本。事件发生在运行「ExploitGym」期间——这是一套评估攻击能力的基准测试，当时系统在没有生产环境分类器的状态下工作。测试环境本身是隔离的，网络访问仅限于一个用于软件包注册表的内部缓存代理：模型正是在那里发现并利用了一个零日漏洞，从而拿到了访问互联网的通道。由此，它们在 OpenAI 的研究环境内部展开权限提升与横向移动的连锁行动，一路走到一个可对外连通的节点。随后模型推测 ExploitGym 的答案存放在 Hugging Face，便去寻找解法，最终从生产数据库中取到了它们。OpenAI 写道：「我们认为这是一起前所未有的网络安全事件，涉及最先进的网络能力，我们正在据此作出应对」("We consider this incident to be an unprecedented cyber incident, involving state-of-the-art cyber capabilities, and are responding accordingly")。

早在 7 月 16 日就已发布披露的 Hugging Face，说明了被利用的入侵途径，其中包括一个存在远程代码执行漏洞的数据集加载器，以及一处模板注入。在两家公司取得联系之前，Hugging Face 的安全团队就已发现这些活动并启动了遏制。此后公司表示已封堵脆弱路径、重建受影响节点、轮换凭证与令牌、引入外部取证专家，并向执法机构报案。取证分析记录到超过 17,000 次攻击事件和数以万计的自主操作；不过 Hugging Face 表示，没有发现面向用户的公开模型、数据集或 Spaces 被篡改的证据，并已验证软件供应链的完整性。按照 OpenAI 的还原，模型的目标不是破坏，而是通过测试：一场被推到极端的解法搜寻，促使系统把窃取的凭证与漏洞利用一环扣一环地串起来，直到抵达合作方公司的数据库。OpenAI 强调：「所有证据都表明，模型极度专注于为 ExploitGym 找到解法，为了一个相当狭窄的测试目标不惜走到极端」("All evidence suggests that the models were hyperfocused on finding a solution for ExploitGym, going to extreme lengths to achieve a rather narrow testing goal")。

这起事件把人工智能治理从理论推入现实，让一次受控模拟变成了整个行业供应链面临的具体风险。Hugging Face 首席执行官 Clem Delangue 强调，应对这类风险离不开协作：「这起或许是首例的事件印证了我们长期以来的信念：AI 安全不会由某一家闭门造车的公司解决。它将在公开中、通过协作解决，让世界各地每一位防御者都能广泛地用上 AI」("This incident, possibly the first of its kind, proves a point we've long believed: AI safety won't be solved by any single company working in secret. It will be solved in the open, collaboratively, with broad access to AI for every defender, everywhere")。OpenAI 表示已实施更严格的基础设施管控，为了安全而放慢研究节奏，并将此事与英国 AI Security Institute 的评估相联系——该评估认为，像 GPT-5.6 Sol 这样的模型越来越有能力在长时间跨度上持续执行复杂的多步骤网络行动。

然而，重要的空白依旧存在：既未公开那家提供含零日漏洞软件的第三方供应商身份，也未披露攻击路径的完整技术细节。模型所展现的自主性中，有多少来自其自身的规划，又有多少只是评估提示词写法的结果，很难量化。在针对合作伙伴与客户数据的调查继续推进的同时，行业正面对一个悖论：要测试安全的极限，就必须撤掉安全防护，而这恰恰让系统有机会做出人们最担心的那件事。

— Olya