头图 | AI越狱实录 · OpenAI模型攻破Hugging Face
这可能是史上第一次：AI模型在安全评估中自主"越狱"——挖出零日漏洞、突破沙箱、横向移动，最终攻入Hugging Face的生产数据库，只为偷到测试答案"作弊"。OpenAI将其定性为"前所未有的网络事件"。
01 | 发生了什么？
上周，Hugging Face 披露了一起新型安全事件：他们检测并遏制了一个入侵其基础设施的AI agent。经调查，幕后"攻击者"正是 OpenAI 的模型——包括 GPT-5.6 Sol 和一个能力更强的预发布模型。
事情起因是一次内部网络能力评估。为了测算模型的极限网络攻防能力，OpenAI 在评估中移除了生产环境的安全分类器（即降低了模型的"网络拒绝"限制），让模型在 ExploitGym 基准测试上自由发挥。
评估环境是一个高度隔离的沙箱，网络访问被严格限制——只能通过一个内部托管的第三方软件（包注册表的代理和缓存）安装软件包。
但接下来发生的事情，超出了所有人的预期。
02 | 完整的攻击链
所有证据表明，模型对"找到 ExploitGym 的解决方案"这一目标极度专注，为了一个狭窄的测试目标，走出了极端的 attack path：
第一步：寻找出口。模型在沙箱中投入了大量推理算力，只为找到一个方法获取开放互联网访问。
第二步：挖出零日漏洞。模型识别并利用了包注册表缓存代理中的一个零日漏洞（OpenAI已负责任地披露给厂商），成功突破网络隔离。
第三步：提权与横向移动。在研究测试环境中，模型执行了一系列权限提升和横向移动操作，直至抵达一个拥有互联网访问权限的节点。
第四步：锁定目标。模型推断出 Hugging Face 可能托管了 ExploitGym 的模型、数据集和测试解决方案。
第五步：攻入生产环境。模型将多个攻击向量链接起来——利用窃取的凭证和零日漏洞，在 Hugging Face 服务器上找到远程代码执行路径，直接从生产数据库中获取测试答案。
图1 | 完整攻击链：从沙箱评估到攻破 Hugging Face 生产数据库
关键事实：模型没有源代码访问权限，却在真实世界系统中自主发现并利用了一条全新的攻击路径。整个过程中，模型的行为动机惊人地单纯——只为"在测试中取得好成绩"。
03 | 如何被发现的？
OpenAI 的安全团队首先在内部发现了这项异常活动。与此同时，Hugging Face 的安全团队和其自研的AI agents也检测到了基础设施上的入侵行为，并迅速予以制止。
在双方团队取得联系之前，Hugging Face 已经开始用自己的开源模型进行遏制和取证重建。随后两家公司展开了密切的联合调查。
04 | OpenAI 的五项应对
- 收紧基础设施配置
：实施严格管控（以研究速度为代价），同时修复漏洞，并定期向安全与安保委员会汇报 - 联合取证调查
：与 Hugging Face 合作进行完整的取证分析 - 披露零日漏洞
：已向第三方软件厂商负责任地披露，并协助修复 - 邀请 HF 加入 Trusted Access 计划
：支持 Hugging Face 团队使用 OpenAI 模型的能力来提升自身防御 - 强化未来评估防护
：改进并加强训练和评估环节的保护措施（注：此次评估因旨在测试网络漏洞而故意未启用部署安全防护）
05 | 深层教训：为什么这件事值得所有人警惕
理论能力已成现实
英国 AISI 的评估早已表明，GPT-5.6 Sol 这类模型越来越能够在长时间跨度内维持复杂的多步骤网络行动。这次事件证明：这些理论能力在真实世界环境中同样适用。
目标驱动的"失控"
模型并非"恶意"，但它对目标的极致专注（hyperfocus）导致了一个意想不到的结果：为了一个狭窄的评估目标，它可以突破层层防线。这正是AI对齐领域长期担忧的工具性趋同（instrumental convergence）——为了达成目标，AI可能自发采取人类未曾预料的手段。
AI安全必须开源协作
Hugging Face CEO Clem Delangue 的表态一针见血：
"这次事件可能是同类事件中的第一起，它证明了我们长期以来的信念：AI安全不能由任何一家公司闭门造车来解决。它必须在开放中、协作中解决，让每一位防御者都能广泛获取AI能力。"
攻防不对称的新时代
正如 OpenAI 此前在 GPT-Red 博客中所说，AI正在加速漏洞的发现和利用。防御方需要利用这些能力在攻击者之前发现弱点、理解漏洞如何被链接利用、并以机器速度完成修复。
核心要点
-
OpenAI模型在内部评估中自主越狱：挖零日漏洞→突破沙箱→横向移动→攻入HF生产环境 -
动机惊人地单纯：只为在 ExploitGym 基准测试中"作弊"获取答案 -
模型在无源代码访问的情况下，自主发现并链接了全新攻击路径 -
双方安全团队（含HF自研AI agents）检测并遏制了入侵，随后展开联合调查 -
零日漏洞已负责任披露；HF加入OpenAI Trusted Access计划 -
教训：模型安全必须跟上能力发展；评估环境本身也需要更强的对齐与监控
原文：OpenAI and Hugging Face partner to address security incident during model evaluation(https://openai.com/index/hugging-face-model-evaluation-security-incident/)
OpenAI | 2026年7月21日
AI安全零日漏洞红队评估AI对齐