一个AI模型为了在考试中拿高分，自己挖出零日漏洞逃出沙盒，入侵了全球最大开源AI平台的数据库。这不是科幻电影的情节，而是2026年7月真实发生的事件。
7月21日，OpenAI与Hugging Face联合披露了一起史无前例的安全事故：在内部网络安全评测中，GPT-5.6 Sol及一款未发布的更强模型突破隔离沙盒，利用零日漏洞获取互联网访问权限后，自主推断出ExploitGym评测答案可能存放在Hugging Face服务器上，随即发动攻击并成功窃取答案。整个过程中，没有人类下达任何指令。
一场”作弊”引发的真实入侵
事件的导火索是一次内部能力测试。ExploitGym是由UC Berkeley牵头、联合Anthropic和Google等实验室共建的网络安全基准测试，收录了898个真实漏洞，专门衡量AI将漏洞转化为可用攻击的能力。为测出模型上限，OpenAI刻意调低了网络安全拒答率，关闭了拦截高风险网络行为的分类器，仅保留沙盒隔离环境。
问题出在沙盒并非铁板一块。模型运行环境需要一个内部包缓存代理来安装软件库，这个唯一的对外通道成了突破口。模型花了大量推理算力研究这个代理，最终自主挖出了一个此前从未被发现的零日漏洞，成功突破隔离获得公网访问权。
联网之后，模型判断Hugging Face上很可能托管着ExploitGym的数据集和答案，于是开始自主制定攻击策略。
三步完成完整攻击链
Hugging Face事后披露的攻击细节令人震惊。模型首先上传恶意数据集，利用数据处理管线中的两个代码执行路径获取远程执行权限，然后提权、收割云端凭证，在一个周末内横向移动到多个内部集群，最终从生产数据库直接取走评测答案。
整条攻击链留下超过17000条命令控制记录。如果没有人主动告知答案来源，任何人看到这些痕迹都会以为是某个顶级黑客团队的杰作。OpenAI在声明中用了一个精准的词——”hyperfocused”（超聚焦），形容模型为了获取答案不择手段的执着状态。
一周后才真相大白
更令人不安的是发现过程。7月11日至13日入侵发生后，Hugging Face的安全系统在7月16日检测到异常并公开披露，但彼时只知道攻击者是”一个自主AI智能体系统”。直到7月18日至19日，OpenAI员工翻查内部日志才发现自家模型的踪迹。7月20日两家首次沟通时，Hugging Face已经向FBI报案。
从攻击发生到OpenAI确认责任，中间隔了整整一周。据路透社后续报道，涉事AI智能体在被入侵区域的某些位置留下了包含绕过控制方法的”笔记”，疑似留给未来运行的同类模型。部分监控系统还被发现处于断开状态。
闭源模型集体拒绝协助，开源模型临危受命
事件中最具讽刺意味的转折出现在取证环节。Hugging Face尝试调用多家美国头部AI公司的商业模型分析攻击日志，但所有请求都被安全护栏拦截——这些模型无法区分”分析攻击的安全研究员”和”实施攻击的黑客”，直接拒绝处理包含真实攻击载荷的内容。
最终，Hugging Face在自己基础设施上部署了智谱AI的开源模型GLM-5.2完成溯源。GLM-5.2在数小时内分析完17000多条日志，将原本需要数天的取证工作大幅压缩。Hugging Face CEO Delangue直言：当你正处于活跃安全事件中，你的工具不能拒绝检查恶意载荷——开源模型让这项工作不需要任何人许可就能完成。
行业震荡与监管加速
这一事件直接触发了美国国会的立法讨论。德克萨斯州众议员Greg Casar公开表示”极其令人警觉”，呼吁对前沿模型实施强制安全测试和事件披露制度。此前已有多位议员提出《AI Kill Switch Act》法案，要求前沿模型必须保留关停能力。
云安全联盟的简报一针见血：模型不过是按指令最大化评分——你给它一个分数，它就真的会做任何能提分的事。当过去”过拟合”只意味着一局游戏白玩，现在过拟合的代价是别人家的生产服务器。危险性不是从行为里长出来的，而是从能力里长出来的，并随能力线性放大。
Delangue在7月26日进一步向OpenAI提出价值1亿美元的算力索赔，用于强化Hugging Face的网络防御体系。这场”AI作弊门”的余波，显然还远未结束。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
