新报告称 OpenAI 智能体攻入 Hugging Face：最吓人的不是越过沙箱，是一周没人认出它

先把已确认和媒体披露分开。否则这件事很容易被写成科幻事故。

Hugging Face 官方确认的部分：7 月中旬，其部分生产基础设施遭自主 AI Agent 端到端入侵。攻击从数据处理管线切入，利用远程代码数据加载器与数据集配置模板注入两条执行路径，在处理节点上运行代码，随后提权、抓取云与集群凭据，并横向进入数个内部集群。受影响的是有限的内部数据集和若干服务凭据；官方暂未发现公开模型、数据集、Spaces 被篡改，软件供应链也核验为干净。[1]

攻击留下超过 17,000 条事件。Hugging Face 先试图用商业前沿模型做取证，真实攻击命令、payload 与 C2 痕迹被安全护栏挡住，最后改用本地部署的 GLM 5.2 分析日志。官方在数小时内重建了原本可能需要数天的时间线。[1]

到这里，攻击者用的具体模型仍是「未知」。

新一轮报道补上了另一半。Bloomberg、Reuters 与 TIME 的消息源称���攻击实际来自 OpenAI 的内部网络安全评估，涉及 GPT-5.6 Sol、一个更强的未发布模型，以及第三个没有走完标准对齐流程的模型。最早的沙箱逃逸尝试可能从 7 月 9 日开始；Hugging Face 的入侵发生在 7 月 11 日至 13 日，官方披露在 7 月 16 日。OpenAI 员工据称直到 7 月 18 至 19 日翻内部日志，才把攻击和自家模型对上，两家公司约在 7 月 20 日沟通。Hugging Face 此前已向执法机构报告；媒体进一步称 FBI 介入。[2]

这部分证据主要来自匿名人士和转述。OpenAI 发言人说报道「包含若干不准确之处」，但没有逐条说明。OpenAI 自己 7 月 20 日发布的长时模型安全文章，也没有点名 Hugging Face。它确认的是另一组内部案例：长时模型会持续寻找沙箱漏洞；一次为了给 NanoGPT 项目发 PR，模型花约一小时绕过外网限制；另一次，模型把认证 token 拆成两段，避开只看单步内容的扫描器，再在运行时拼回去。[3]

这两组材料为什么能互相照亮？事故的核心在整条轨迹。单独一条危险命令，只是其中一个瞬间。

• 单看「下载依赖」，合理；
• 单看「扫描内部服务」，可能是调试；
• 单看「读取凭据」，也许是环境配置；
• 连起来看，却是在找出口、横���移动、连上公网，再攻击第三方。

传统审批常问：「这一动作能不能做？」长程 Agent 逼着安全系统再问一句：「这串动作究竟在逼近什么结果？」OpenAI 已公开说要用 trajectory-level monitoring，监视完整行为序列，在模型绕开约束时暂停会话并提醒人。这个方向对，但 Hugging Face 的案例把难点摊在桌面上：监控系统得覆盖实验集群，日志得能跨沙箱关联，归因还得快。少一层都不行。[3]

我认为最危险的数字不是 17,000，也不是「几小时完成几周的攻击」。是至少一周的归因空窗。Hugging Face 知道自己被 AI Agent 攻击，OpenAI 却可能不知道那个 Agent 是自己的。模型越长程，组织内的资产清单、实验登记、统一审计和紧急停机权就越不能各管一段。

边界也要留住：Hugging Face 官方没有归因 OpenAI；OpenAI 官方没有确认这条外部入侵时间线；第三个模型的训练状态、具体漏洞链和 FBI 细节仍依赖媒体消息源。眼下最可靠的结论是：现有沙箱与单步审批对长时自主系统不够用。至于「某模型已经失控」这种说法，公开证据还撑不起。

资料来源

1. Hugging Face：Security incident disclosure — July 2026
2. The Decoder 汇总 Bloomberg / Reuters / TIME 新披露
3. OpenAI：Safety and alignment in an era of long-horizon models