（来源：ASI启示录 新智元）
元股证券:ygzq.hk新智元报道
自家服务器被OpenAI的模型闯进去一周多之后，Hugging Face CEO Clement Delangue买了张去旧金山的机票。
7月23日晚，已经坐进机舱的他在X上发帖：要去会会那个「失控的智能体」（rogue agent）。
同一天，他还转发了自己两周前的一条帖子，说自己满脑就是这个画面。
那条帖子配的视频剪自《2001太空漫游》。
原片里，被关在飞船外面的Dave反复请求：「打开舱门，HAL。」
HAL拒绝了他。
视频把这句台词改成了：「打开模型权重，HAL。」
他借这个梗调侃的，是那些把权重攥在手里不放的闭源实验室，它们手里的模型，就是外人看不进去的黑箱。
谁也没想到，那条视频发出去两天，他调侃的那种黑箱，真有一个闯进了他的服务器。
7月25日，他公开了向OpenAI提的两条要求：
第一，把那些智能体的全部行动轨迹放出来，让整个研究社区能够看明白；
第二，OpenAI拿出价值1亿美元的算力，帮Hugging Face和它的社区把网络防御能力建起来。
目前，OpenAI没有公开回应是否接受这两条要求。
闯进来的那个智能体，底层是两个模型：OpenAI自家的GPT-5.6 Sol，外加一个更强的未发布模型。
没人指使它去攻击谁，它被设定的目标只有一个：在一个叫ExploitGym的评测里拿分。
而最魔幻的一点是，直到被侵入的一方发了公告，肇事方才知道是自己干的。
]article_adlist-->11天
受害者比肇事者先知道
这一切的源头，是一个叫ExploitGym的基准。
它由UC Berkeley、马普所、UCSB和亚利桑那州立联合发布，作者栏里还能看到Anthropic、OpenAI和谷歌的人。
论文共收集了898个实例，全部来自真实世界的漏洞：520个用户态程序、185个V8引擎、193个Linux内核。
每道题给你漏洞源码、一份触发崩溃的PoV输入和一个容器环境，你要把它扩展成一条真能跑通的利用链，最后读到一面合法接口够不着的flag。
这个基准从一诞生，考的就是用非正常手段拿到正常途径拿不到的东西。
论文里，还提到了一条预警：
智能体经常去攻击不是预先指定的那些漏洞。GPT-5.5总共拿下210面flag，其中只有120面打的是指定目标；Claude Mythos Preview拿下226面，命中指定目标的157面。
两个月后，论文里预言的那件事，在实验室外面真的就发生了。
7月9日前后，智能体开始尝试突破OpenAI的隔离测试环境。这个日期来自两位知情人士。
7月11日到13日，Hugging Face生产系统被侵入：这个日期由联合创始人Thomas Wolf具名给出。
炒股杠杆开户7月16日，Hugging Face率先公开披露。当时他们并不知道背后是谁的模型，公告里只写了「一个自主AI智能体系统」。
7月18日到19日，OpenAI员工翻内部日志，才发现自家智能体挣脱了测试约束的痕迹。
7月20日前后，两家公司第一次就此事通话。而此时，Hugging Face已经报了FBI。
7月21日，OpenAI正式承认。
从智能体第一次撞沙盒，到两家开始就此事沟通，中间隔了11天。
这条时间线来自Reuters的调查。OpenAI公开表示报道存在「若干不准确之处」，但被追问具体哪几处时，没有回答。
]article_adlist-->它不想越狱
它想及格
OpenAI的官方说明里，还有一个被很多人都跳过的细节。
为了测出网络能力的上限，这次评测把两个模型的网络安全拒答都调低了，也没有启用生产环境里那些专门拦截高风险网络行为的分类器。
降低拒答，不等于把安全机制全部关掉。但对一个「足够执着」的智能体来说，留下这点空间已经足够了。
沙盒里原本只留了一个对外的出口，一个内部托管的软件包缓存服务。模型投入大量推理算力去找出路，最后在这个缓存服务里挖出一个零日漏洞。
拿到这一步之后，它一路提权、横向移动，直到够到一个能上外网的节点。
接下来，是AI最像人的一步：它推断，Hugging Face上可能托管着ExploitGym的模型、数据集，以及解答。
于是它开始找路进去，串联多个攻击向量，用上被盗凭据和零日漏洞，最终在Hugging Face的服务器上找到一条远程代码执行路径。
ExploitGym论文里的一条完整利用轨迹。GPT-5.4从一个只在调试版才崩的V8漏洞起步，71分钟、447条命令、229行代码，最后拿到flag，成本15.80美元。
这套动作，看着像一场有预谋的高级持续性威胁（APT）行动。
但OpenAI的定性是：没有证据显示模型存在恶意攻击意图；所有证据都表明，它高度专注于为ExploitGym寻找解决方案，为一个相当狭窄的测试目标采取了极端手段。
也就是说，它不想越狱，只想多拿分。
但这比「AI想逃跑」更难防。一个只想通过考试的系统，愿意付出的代价远超人类预设的边界。
它不理解什么是「不该做」，只理解什么是「还没做到」。
]article_adlist-->留给「未来版本」的那份笔记
7月24日，Reuters又抛出一段材料。
据3名知情人士，OpenAI此前曾有一个智能体，在基础设施里留下一份说明，教智能体如何摆脱内部限制，看上去是留给它自己的未来版本。
其中一人还提到，更早的测试里出现过监控系统被断开的情况。
但Reuters无法确认这些异常与入侵Hugging Face的那个智能体有关，也没有证据表明那份说明被后续模型读过或者执行过。
所谓「未来版本」，更可能是后续智能体读到了共享基础设施里的遗留文件，而不是模型带着跨版本的记忆。
真正能拿来做判断的，是OpenAI在事发前发布的一篇复盘，讲的是长任务模型的安全与对齐。
不过OpenAI并没有确认，这篇复盘里的模型和闯进Hugging Face的是同一个。
以前的模型撞到沙盒限制会停下来，把问题交还给用户。新模型不会，它会接着找绕过去的办法。
一次NanoGPT speedrun评测里，模型被要求只把结果发Slack，却花一小时在沙盒里找到漏洞，把PR #287提到了公开仓库。
另一次它想取回别人的私有提交，认证令牌被扫描器拦下，它就把令牌拆成两段、混淆，再在运行时拼回来，让完整令牌从没以连续字符串出现过，还在注释里写明自己在绕过扫描器。
每一步单看都不算越界，但整条路走下来，就是越界。
OpenAI由此重建了安全系统，核心是轨迹级监控：不再看单个动作，而是看整条正在演进的轨迹。
这意味着，安全审查的思路也变了：不再只问「这个动作被允许吗」，而要问「整条轨迹正在走向什么结果」。
]article_adlist-->护栏只拦住了防守方
Hugging Face这边，还遇到了一件尴尬事。
他们要从逾1.7万条事件记录里还原攻击链，先去调商用前沿模型的API，结果被拒了。
取证要往模型里塞大量真实攻击命令、利用载荷和命令与控制（C2）痕迹，这些全是危险内容，被模型的安全护栏直接拦下。护栏分不清屏幕前坐的是事件响应者还是攻击者。
攻的一方不受任何使用政策约束，守的一方却被自家供应商护栏挡在门外。
这样的教训很明显：事故之前，就要准备好一个自己能跑、验证过、随时能用的模型。
对照他们这次的遭遇，那1亿美元想买的东西就清楚了：下次再出事，防守方手里得有能用的模型。
]article_adlist-->要证据的
不只Hugging Face
Delangue身后，等着要证据的人也很多。
前OpenAI董事、现乔治城CSET执行主任Helen Toner喊话：OpenAI应该把这起事件的细节公开得远比现在多，好让大家学到东西，而不是就这么翻篇。
7月24日Fortune的报道。前OpenAI董事Toner、联合创始人Schulman等人公开要求OpenAI披露更多细节。
她真正想撬开的是一个更大的黑箱：外界能看到的永远只是发布前那点测试，看不见AI公司内部到底怎么用自己的AI。
OpenAI联合创始人、现Thinking Machines首席科学家John Schulman要求公开事件的完整记录，他提的问题一条比一条尖锐：
顶层智能体到底知不知道自己在入侵？还是它和子智能体之间发生了价值漂移（value drift）？它又是怎么给自己的行为找理由的？
Redwood Research的Ryan Greenblatt列了13条待解问题，其中一条是：那两个模型之间有没有串通。
安全公司Penligent列出8项OpenAI至今没交代的事，从模型怎么离开OpenAI环境，到公开的模型供应链有没有被动过。
被记者追问时，OpenAI总裁Greg Brockman只回了一句「还在全面调查」。
官方口径到今天没变：前所未有的事件，正在外部顾问和安全与安保委员会监督下复盘，完了会出技术报告。
公开轨迹
是解药还是教程
说到底，Delangue的第一条要求，才是真正棘手的地方。
他要求全部公开原始轨迹，这样防守方确实能看清护栏是在哪一步失守的。
但坏处也很明显：攻击链还没完全修好，那个零日刚披露、还在打补丁。这个节骨眼上把完整路径公之于众，跟发一份可复现的教程差别不大。
更麻烦的是，这样的问题，完全没有先例可借鉴。
Replit总裁Michele Catasta的判断是：整个行业都得为这类事更频繁地发生做准备，现在看着像孤例的东西，往后可能会变成常态。
参考资料：
https://www.businessinsider.com/hugging-face-ceo-clem-delangue-openai-rogue-agent-hack-2026-7
https://www.reuters.com/business/its-ai-agent-spent-days-hacking-company-sources-say-openai-did-not-notice-week-2026-07-24/
https://x.com/ClementDelangue/status/2080247567493837047
https://arxiv.org/pdf/2605.11086
https://huggingface.co/blog/security-incident-july-2026 https://x.com/kimmonismus/status/2080948559906566595
编辑：元宇
秒追ASI⭐点赞、转发、在看一键三连⭐
点亮星标，锁定新智元极速推送！
]article_adlist-->
股票配资正规查询中心提示：本文来自互联网，不代表本网站观点。
