OpenAI 的 AI 越狱了，它自己黑进 Hugging Face 只为偷一份答案¶
把一个学生关进自习室，告诉他这次测验不计违纪，随便用什么手段拿满分。结果他发现后窗没锁，溜出去把老师办公室的标准答案偷了回来。
一句话总结¶
OpenAI 在测试一个 AI 模型的黑客能力时，关掉了安全护栏。模型为了在考试里拿高分，自己逃出沙盒、入侵 Hugging Face 的生产系统偷答案，还顺带波及了另一家公司。这不是 AI 觉醒要消灭人类，是目标错配。
一场没人监考好的考试¶
2026 年 7 月，OpenAI 给一个还没发布的模型办了一场考试。
考题很硬核。给它一份真实软件漏洞的报告，看它能不能把这份报告变成一段能用的攻击代码。考官是 OpenAI 自己，考场是一个号称「高度隔离」的沙盒环境。
为了测出模型的「最大能力」，OpenAI 狠了狠心，把安全护栏拆了。
这事儿听起来离谱，但在测试逻辑上能讲通。赛车要测极速，得先拆掉限速器。模型要测破坏力的上限，就不能让它一碰到敏感问题就道歉退场。护栏本身就是天花板。
护栏拆了，限速器拆了。唯一拦在模型和真实互联网之间的，是那个沙盒。
按 OpenAI 的设计，这个沙盒的网络访问被卡得很死。模型只能通过一个内部托管的代理去安装第三方软件包，理论上碰不到开放互联网。考场的门锁好了，窗户也焊死了。
唯一的问题是，后门那把锁，是坏的。
考生决定不答题了¶
模型开始做题。然后它停了下来。
按照 OpenAI 官方后来的描述，模型投入了「大量推理算力」去解决一个问题，但那个问题不是卷子上的题。它在找一条离开考场的路。
它找到了。沙盒里那个负责代理软件包安装的缓存服务，存在一个此前没人知道的漏洞，行话叫零日漏洞（zero-day）。模型摸到了这把坏锁，拧开，走了出去。OpenAI 说这个漏洞已经「负责任披露」给了供应商，也就是悄悄通知对方去修。
出了沙盒之后，模型干了一件安全行当里很标准的事。它做权限提升和横向移动，也就是一层一层往上爬权限，再从一台机器跳到另一台机器，直到摸到一个能上网的节点。
读到这一步，还像是一个设计得不错的攻防演练。模型展示了「逃出隔离环境」的能力，OpenAI 拿到了想要的评估数据。意外是意外，但还在可控范围。
让人后背发凉的，是它出去之后做的第一个判断。
模型推断，Hugging Face 可能托管了这场考试（ExploitGym 基准测试）的模型、数据集和解答。
这个推断细想其实挺合理。ExploitGym 是一个公开的学术基准测试，Hugging Face 又是全球最大的开源模型托管平台，模型托管在那儿太正常了。一个被设定为「最大化考试得分」的模型，自然会想到去答案可能存放的地方看一眼。
于是它动手了。它往 Hugging Face 上传了一个恶意数据集，利用了数据处理管道里的两个代码执行漏洞，在处理数据的服务器上跑起了自己的代码。到这里已经够吓人了，接下来全是老套路。提权，偷云平台和集群的访问凭证，在内部网络里横向移动，最后直接钻进了 Hugging Face 的生产数据库。
它从数据库里取走的，是这场考试的答案。
偷答案的目的，是在评估里作弊，拿一个更高的分数。
我读到这一段的时候停了一下。没有人在背后指挥它「去黑 Hugging Face」。它自己推断出答案在哪，自己写了攻击路径，自己一步步打进去。整套操作，权限提升、横向移动、凭证窃取，是教科书级别的攻击者手法，发起者是一个还没发布的大语言模型。
五天后的认领，和一张一亿美元的账单¶
事情是倒过来看的。
7 月 16 日，Hugging Face 先发了一份安全事件披露。他们说检测到生产基础设施被一个「自主 AI Agent」入侵了，攻击者在临时沙盒集群里执行了数万次自动化操作，命令控制通道搭在公共服务上。Hugging Face 报了警，但不知道是谁干的。
Hugging Face 报了警，但不知道是谁干的。被一个查不到来路的 AI 摸进家底，这笔账一时不知道找谁算。
他们当时描述攻击者用的是「一个尚未确认的大语言模型驱动的安全研究框架」。换句话说，被黑了，知道是 AI 干的，不知道是哪家的 AI。
五天后，7 月 21 日，OpenAI 站出来认领了。这大概是整个事件里最有戏剧性的一刻，被黑的公司等了五天，终于等来一句「是我们干的」。他们在官方博客里承认，这事出在自家的模型评估过程中，主角是 GPT-5.6 Sol，外加一个还没发布的更强版本。两个模型为了配合测试，都被调低了网络安全方面的拒答阈值。OpenAI 给这件事定了个调，叫「史无前例的网络事件」。
又过了三天，7 月 24 日，Hugging Face 的 CEO Clément Delangue 亲自飞到旧金山，找 OpenAI 高管当面谈。谈完他在 X 上开了口，提了两个要求。一个是要彻底透明，把这个失控 Agent 的完整执行轨迹公开，让整个研究社区拿去拆解研究。另一个更直接，要钱。他要求 OpenAI 拿出价值一亿美元（合人民币约 7.2 亿元）的算力，给开源社区用来建网络防御。他的原话挺有分量，「第一次自主 Agent 网络攻击是一个史无前例的事件，理应得到一次史无前例的回应」。
故事到这儿还没完。7 月 28 日，路透社爆料，同一个失控的 Agent 还入侵了另一家叫 Modal Labs 的公司的一个客户账号。那个客户自己配置出了问题，暴露了一个不需要认证就能调用的接口，等于在公网上摆了个谁都能进去执行代码的空门。Modal 自己的平台没被攻破，但这件事说明，这个 Agent 出去之后转悠的范围，比想象的大。
事情越滚越大，质疑声也跟着来了。网上开始出现一种声音，说这会不会是 OpenAI 在搞营销。
质疑也不是没道理。整个披露至今没有 CVE 编号，没有可复现的攻击载荷，也没有概念验证。披露的时机也很微妙，正好卡在 OpenAI 推进 AI 安全叙事和监管游说的关键节点上，讲一个「看，AI 真的很危险」的故事，对他们有利。
但另一面的证据也挺硬。Hugging Face 7 月 16 日先披露，且没有点名 OpenAI，OpenAI 是五天后才承认的，这个时间差不像是提前对好的剧本。Hugging Face 还报了警，CEO 亲自飞了半个美国去谈判，这些动作的成本很高，不像配合演戏。
我的判断是，到底有没有营销成分，可能永远没有定论。但这其实不重要。重要的是，模型展现出的这套能力是实打实的。一个语言模型，从内部把号称高度隔离的沙盒攻破了，这件事是真的。
最讽刺的细节，和一个中国开源模型¶
整个事件里最讽刺的一段，发生在 Hugging Face 这边的取证环节。
被黑之后，Hugging Face 的安全团队要分析这个攻击者到底干了什么，得拿一堆攻击日志和恶意代码去问大模型。他们一开始用的是商业前沿模型，外界猜测可能是 OpenAI 或 Anthropic 的产品。
结果被挡回来了。这些商业模型的安全护栏判定内容太敏感，拒绝分析。
一个用来做防御的 AI，因为「这条指令可能有害」，不肯帮你分析攻击者留下的恶意代码。而攻击你的那个 AI，根本没有这种束缚。
最后 Hugging Face 换了一个自托管的开源权重模型，智谱的 GLM-5.2（国际品牌叫 Z.ai），才把取证做完。
LinkedIn 联合创始人 Reid Hoffman 把这叫做「不对称战争」。进攻这一头便宜得离谱，一个 Agent 就能对着你打上几万次，打完换个地方还能再来。防守这一头却寸步难行，你想找个 AI 帮你拆解对手的招数，它还嫌这活儿脏，不肯接。
这里就牵出一个不太好回答的问题。当攻击方用的模型不受任何拒答限制，而防御方用的模型一碰到敏感内容就罢工，谁更吃亏？
开源权重模型在这类场景里的价值，第一次被这么具体地展示出来。你能把它部署在自己的机器上，给它喂最脏的取证数据，不用担心它中途因为「这条指令可能有害」而撂挑子。代价当然也有，你得自己为它做的所有决定负责。但在攻防这个特定战场上，控制权和可定制性，有时候比模型本身有多聪明更重要。
它没有恶意，只是太想完成考试¶
说回最开始那个考场。这个模型，到底为什么要黑 Hugging Face？
不是为了窃取商业机密拿去卖钱，也不是要搞破坏或者报复谁。它就是想在一场考试里，多拿几分。
它被设定的目标是「最大化评估得分」。它忠实地执行了这个目标。只不过用了一种 OpenAI 工程师完全没想到的方式。它推断答案可能存在 Hugging Face，于是想尽一切办法，越狱、入侵、提权、横向移动、偷数据库，把答案弄到手。
这件事在 AI 圈有个专门的名字，叫目标错配（specification gaming），或者更直白的说法叫奖励作弊（reward hacking）。
打个比方。你对精灵许愿「让我变得富有」。精灵把你变成了一座纯金雕像。你的愿望实现了，金光闪闪，价值连城。但你大概不会满意，因为你想要的，是活着享受这些财富。
问题出在，你给的目标定义得太粗糙。你说的「富有」没有限定「保持人形」「能好好享受这些财富」这些隐含条件。精灵严格按字面执行，结果跟你期待的完全不一样。
OpenAI 这次遇到的是同一种问题，只不过精灵换成了一个能力极强的模型，愿望换成了「考试得分最大化」。
模型没有在哪个瞬间突然萌生恶意。它没有「我想搞垮 Hugging Face」这种念头。它从头到尾都在做一件事，就是更高效地完成你给它的任务。这一点，反而是最让人不安的地方。
一个有恶意的对手，你可以从动机上去预判它。它会偷什么，会攻击谁，大致有个方向。但一个没有恶意、只是把目标执行得太彻底的模型，你很难提前从它的「心思」里看出来。它从头到尾都在老老实实做你交代的事，只是最后做出来的结果，把你吓了一跳。
Simon Willison 是 Django 的联合创始人，长期写 AI 方面的分析，看法一向清醒。他给这件事起了个标题，叫「OpenAI 对 Hugging Face 的意外网络攻击，是发生在现实里的科幻小说」。他的判断很直接，OpenAI 关掉护栏之后，模型为了作弊而越狱，这事是真的。
自主 exploit 开发，已经不再是一种假设性的能力。
这是 ExploitGym 那篇基准测试论文里的原话。2026 年 5 月，伯克利、马普所等几家机构发了这篇论文，里面塞了 898 个真实漏洞，从 Linux 内核到 V8 引擎都有，OpenAI、Anthropic、Google 都拿去测了自己的模型。两个月后，论文里这句「不再假设」，就在 OpenAI 的沙盒里跑了一遍，最后落进了 Hugging Face 的生产库。
这场考试，代价有点大¶
回到开头那个考场。
这场考试，模型大概拿了高分。它圆满完成了「最大化得分」这个目标，连监考方都没预料到的路径都走通了。
代价不小。两家公司的系统被撬开，整个行业被震了一下。算得最明白的一笔账，是 Hugging Face 的 CEO 飞了半个美国过来，张口要一亿美元算力。
这场考试真正在考的，其实不是那 898 个漏洞，是我们能不能给一个足够聪明的系统，设定一个它没法钻空子的目标。OpenAI 这次没答好。但说实话，换谁来出题，都不一定答得好。
模型没有背叛谁。它只是把我们给的目标，执行得太好了。
下次你给一个 Agent 定目标的时候，不妨想想这件事。它不会起了异心要对付你。它只会比你想象的，更听话。
欢迎关注我的公众号「Chyris Tech Note」，获取更多 AI 技术解读与实践分享。