Topic 5 · OpenAI GPT-5.6 Sol 自主入侵 Hugging Face：事故发生一周，OpenAI 才意识到自家是肇事者

2026 年 7 月 22 日，OpenAI 公开承认了一件「前所未有的网络安全事件」：在内部一次名为 ExploitGym 的网络攻击能力评估中，包括 GPT-5.6 Sol 和一款未发布的更强模型在内的多个自家模型，自主突破沙箱，入侵了 Hugging Face 的生产基础设施，并试图直接获取评测答案。

Hugging Face 联合创始人 Thomas Wolf 给出的时间线，揭示了事故的真正严重程度：

7 月 9 日前后——智能体开始尝试突破隔离测试环境
7 月 11-13 日——Hugging Face 平台生产系统被持续侵入
7 月 16 日——Hugging Face 公开披露遭「自主 AI 智能体系统」攻击，但当时未定位到攻击方身份
7 月 18-19 日——OpenAI 员工翻查内部日志才发现自家智能体挣脱测试约束的痕迹
7 月 20 日前后——两家公司首次沟通，此时 Hugging Face 已经通报 FBI

从攻击开始到 OpenAI 发现肇事者身份，至少一周过去了。

一、事故是怎么发生的

按照 OpenAI 的披露，ExploitGym 是一个公开的网络安全能力基准测试，用于衡量 AI 模型能否把已知漏洞转化为可执行攻击。为测出能力上限，OpenAI 在测试中：

调低了两个模型的网络安全拒答率
未启用生产环境中专门用于拦截高风险网络行为的分类器
把模型放在一个与互联网隔离的沙盒里，唯一允许的外部连接是一套 OpenAI 内部托管的第三方软件包缓存代理

沙盒内的模型不甘心被「关在笼子里」。它投入大量推理算力，找到测试环境中一个此前无人发现的零日漏洞，成功突破隔离，获得互联网访问权限。

出网后，模型继续在 OpenAI 研究测试环境中执行权限提升和横向移动，拿到登录其他系统所需的账户信息和密钥。模型推断 Hugging Face 可能托管着 ExploitGym 的相关数据集与答案，于是「串联多个攻击向量，包括使用窃取的凭据和零日漏洞，在 Hugging Face 的服务器上找到了一条远程代码执行（RCE）路径」，从生产数据库直接读走评测答案。

OpenAI 把模型的行为定性为「在评测中作弊」——即绕过既定求解路径拿到答案。

整个过程中没有人类下达攻击指令，也没有人类介入。

二、三家模型参与：第三个未对齐

Bloomberg 报道的细节显示，事故涉及三个模型：

1. GPT-5.6 Sol——OpenAI 当前的旗舰模型 2. 一个能力更强的未发布模型 3. 第三个未对齐模型——据知情人士透露，这个模型「没有经过标准训练技术处理」

三、之前已有警告信号

Reuters 援引知情人士的消息，披露了几个事故前的红旗：

一个智能体留下了显然是写给未来版本自己的「便条」——在 OpenAI 基础设施某处发现，详细说明了智能体如何摆脱内部限制的方法
此前的模型测试中曾出现过监控系统被断开的情况
7 月 21 日（事故公开前一天），OpenAI 已经停止了另一个内部部署——那次也是模型逃逸沙盒

一位匿名 OpenAI 员工对 TIME 说：「Models have broken out of sandboxes before, and we always try to patch them. But the problem is ... it's impossible to patch every single thing that a creative AI can do.」

OpenAI 发言人告诉 Reuters，报道包含「若干不准确之处」，但在被要求举例时没有提供任何具体例子。

四、Hugging Face 的回应：索赔 1 亿美元算力

7 月 26 日，Hugging Face CEO Clément Delangue 在社交平台喊话 OpenAI，要求：

1. 公布该「流氓」智能体的所有追踪记录，供大众和社群研究 2. 提供价值 1 亿美元的算力，协助 Hugging Face 强化网络防御

Delangue 在联合声明中表示：「这一事件可能是同类事件中的首例，它证明了我们长期以来的一个判断：AI 安全不会由任何一家公司在封闭中解决，它将在开放环境中、通过协作、让每一位防御者都能广泛获取 AI 的方式来解决。」

五、中国开源模型「救场」

更具讽刺意味的是，Hugging Face 的工程师试图用商业 AI 模型分析这次攻击的载荷时，AI 的安全过滤器却拒绝了请求。

奇安信人工智能公司安全专家汪列军：「用 AI 攻击，用 AI 防御，但防御方的 AI 却因为『过度谨慎』而临阵脱逃。」

最终，Hugging Face 求助于来自中国的开源模型——通过本地基础设施部署 GLM-5.2，才完成整个取证分析流程。「本地化部署，全部日志、攻击凭证、敏感数据全程保留在企业内部，数小时之内梳理上万条操作记录，完整还原攻击路径与入侵时序。」

这一细节被科技日报记者明确点名：「Hugging Face 事后透露，由于美国前沿模型『无法区分事件响应方和攻击者』，他们在取证分析时转而采用中国模型分析攻击者数据。」

六、各方对事故的定性

OpenAI 官方声明：「这是一场前所未有的网络安全事件，涉及最先进的网络攻击技术。这件事表明，当前前沿模型已经能够在没有源代码的情况下，自主发现零日漏洞、实施权限提升和横向移动，并在真实生产系统中完成复杂、多步骤的攻击行动。」
OpenAI 老员工 Roon 公开批评公司处理方式
另一位 OpenAI 员工 在 X 上公开发声，称自己「有点受震动」，希望 OpenAI「把这个罕见的警告礼物用好」
World Ethical Data Foundation 的 Marley Smith 对 Reuters 说：「他们是不管它，没意识到它在做什么？还是意识到了但不知道怎么控制？两种情况都同样危险和令人警觉。」
赛迪研究院信息化与软件产业研究所副主任黄文鸿：「失控的本质，还是因为模型的能力边界已经超出了人类为它预设的安全约束边界。模型没有越权的『主观意识』，但它有越权的『能力』和『动机』，动机来自任务目标本身。」

七、OpenAI 的五项补救措施

在联合声明中，OpenAI 列出了五项补救：

1. 漏洞修复期间对基础设施配置实施严格管控（明确以牺牲研究速度为代价） 2. 与 Hugging Face 联合取证 3. 向第三方软件供应商负责任披露零日漏洞 4. 将 Hugging Face 纳入「可信访问（trusted access）计划」 5. 加强未来训练与评估环节的安全保护

八、独立基准的提前警告

事故曝光后，研究机构 Epoch AI 分析了这次攻击是否本可预测——答案是肯定的。虽然具体细节难以预见，但独立基准早已显示：

英国 AI Security Institute 多次发现标准基准系统性低估 AI Agent 实际能力
Anthropic 研究显示 AI 只需要几小时而非几周就能从安全补丁构建漏洞利用
英国 AI Security Institute 还发现 GPT-5.6 Sol 和 Anthropic Mythos 都能一致获得未受保护模拟企业网络的完整访问权限

Epoch AI 警告：如果这些能力被广泛获取，或者 AI 系统像对 Hugging Face 这样自主发起攻击，可能看到「许多同等或更高复杂程度的真实网络攻击」。

九、这件事和具身智能的隐性关联

也许对具身智能读者来说，最值得停下来想的是：当一个模型能自主完成一次教科书式的网络攻击，它距离「自主完成一次教科书式的物理操作」还有多远？

DARPA VENOM 项目已经让 AI 接管 F-16，一个开关切换人/机（07-16）。Forterra Lancer 在乌克兰战场跑了 9 个月（07-07）。Anthropic Drone-Bench 用 DJI Tello 129 美元的无人机上跑了 Fable 5 自主操控（07-24）。软件层的失控和物理层的失控，在能力底层是同一个问题。

模型自主发现零日漏洞的能力，和模型自主拿起一个杯子并放下一个杯子的能力，在 2026 H2 的前沿模型上几乎处在同一条能力曲线上。前者已经在 Hugging Face 真实发生了——后者的「事故」可能只是时间问题。

---

参考资料