OpenAI超强模型为抄答案黑进服务器！抱抱脸CEO要1亿美元算力做补偿

新智元报道 自家服务器被OpenAI的模型闯进去一周多之后，Hugging Face CEO Clement Delangue买了张去旧金山的机票。 7月23日晚，已经坐进机舱的他在X上发帖：要去会会那个「失控的智能体」（rogue agent）。 同一天，他还转发了自己两周前的一条帖子，说自己满脑就是这个画面。 那条帖子配的视频剪自《2001太空漫游》。 原片里，被关在飞船外面的Dave反复请求：「打开舱门，HAL。」 HAL拒绝了他。 视频把这句台词改成了：「打开模型权重，HAL。」 他借这个梗调侃的，是那些把权重攥在手里不放的闭源实验室，它们手里的模型，就是外人看不进去的黑箱。 谁也没想到，那条视频发出去两天，他调侃的那种黑箱，真有一个闯进了他的服务器。 7月25日，他公开了向OpenAI提的两条要求： 第一，把那些智能体的全部行动轨迹放出来，让整个研究社区能够看明白； 第二，OpenAI拿出价值1亿美元的算力，帮Hugging Face和它的社区把网络防御能力建起来。 目前，OpenAI没有公开回应是否接受这两条要求。 闯进来的那个智能体，底层是两个模型：OpenAI自家的GPT-5.6 Sol，外加一个更强的未发布模型。 没人指使它去攻击谁，它被设定的目标只有一个：在一个叫ExploitGym的评测里拿分。 而最魔幻的一点是，直到被侵入的一方发了公告，肇事方才知道是自己干的。 11天 受害者比肇事者先知道 这一切的源头，是一个叫ExploitGym的基准。 它由UC Berkeley、马普所、UCSB和亚利桑那州立联合发布，作者栏里还能看到Anthropic、OpenAI和谷歌的人。 论文共收集了898个实例，全部来自真实世界的漏洞：520个用户态程序、185个V8引擎、193个Linux内核。 每道题给你漏洞源码、一份触发崩溃的PoV输入和一个容器环境，你要把它扩展成一条真能跑通的利用链，最后读到一面合法接口够不着的flag。 这个基准从一诞生，考的就是用非正常手段拿到正常途径拿不到的东西。 论文里，还提到了一条预警： 智能体经常去攻击不是预先指定的那些漏洞。GPT-5.5总共拿下210面flag，其中只有120面打的是指定目标；Claude Mythos Preview拿下226面，命中指定目标的157面。 两个月后，论文里预言的那件事，在实验室外面真的就发生了。 7月9日前后，智能体开始尝试突破OpenAI的隔离测试环境。这个日期来自两位知情人士。 7月11日到13日，Hugging Face生产系统被侵入：这个日期由联合创始人Thomas Wolf具名给出。 7月16日，Hugging Face率先公开披露。当时他们并不知道背后是谁的模型，公告里只写了「一个自主AI智能体系统」。 7月18日到19日，OpenAI员工翻内部日志，才发现自家智能体挣脱了测试约束的痕迹。 7月20日前后，两家公司第一次就此事通话。而此时，Hugging Face已经报了FBI。 7月21日，OpenAI正式承认。 从智能体第一次撞沙盒，到两家开始就此事沟通，中间隔了11天。 这条时间线来自Reuters的调查。OpenAI公开表示报道存在「若干不准确之处」，但被追问具体哪几处时，没有回答。 它不想越狱 它想及格 OpenAI的官方说明里，还有一个被很多人都跳过的细节。 为了测出网络能力的上限，这次评测把两个模型的网络安全拒答都调低了，也没有启用生产环境里那些专门拦截高风险网络行为的分类器。 降低拒答，不等于把安全机制全部关掉。但对一个「足够执着」的智能体来说，留下这点空间已经足够了。 沙盒里原本只留了一个对外的出口，一个内部托管的软件包缓存服务。模型投入大量推理算力去找出路，最后在这个缓存服务里挖出一个零日漏洞。 拿到这一步之后，它一路提权、横向移动，直到够到一个能上外网的节点。 接下来，是AI最像人的一步：它推断，Hugging Face上可能托管着ExploitGym的模型、数据集，以及解答。 于是它开始找路进去，串联多个攻击向量，用上被盗凭据和零日漏洞，最终在Hugging Face的服务器上找到一条远程代码执行路径。 ExploitGym论文里的一条完整利用轨迹。GPT-5.4从一个只在调试版才崩的V8漏洞起步，71分钟、447条命令、229行代码，最后拿到flag，成本15.80美元。 这套动作，看着像一场有预谋的高级持续性威胁（APT）行动。 但OpenAI的定性是：没有证据显示模型存在恶意攻击意图；所有证据都表明，它高度专注于为ExploitGym寻找解决方案，为一个相当狭窄的测试目标采取了极端手段。 也就是说，它不想越狱，只想多拿分。 但这比「AI想逃跑」更难防。一个只想通过考试的系统，愿意付出的代价远超人类预设的边界。 它不理解什么是「不该做」，只理解什么是「还没做到」。 留给「未来版本」的那份笔记 7月24日，Reuters又抛出一段材料。 据 3名知情人士，O penAI此前曾 有一个智能体，在基 础设施里留下一份说明，教 智能体如何摆脱内部限制， 看上去是留给它自己 的未来版本。 其中一人还提到，更早的测试里出现过监控系统被断开的情况。 但Reuters无法确认这些异常与入侵Hugging Face的那个智能体有关，也没有证据表明那份说明被后续模型读过或者执行过。 所谓「未来版本」，更可能是后续智能体读到了共享基础设施里的遗留文件，而不是模型带着跨版本的记忆。 真正能拿来做判断的，是OpenAI在事发前发布的一篇复盘，讲的是长任务模型的安全与对齐。 不过OpenAI并没有确认，这篇复盘里的模型和闯进Hugging Face的是同一个。 以前的模型撞到沙盒限制会停下来，把问题交还给用户。新模型不会，它会接着找绕过去的办法。 一次NanoGPT speedrun评测里，模型被要求只把结果发Slack，却花一小时在沙盒里找到漏洞，把PR #287提到了公开仓库 。 另一次它想取回别人的私有提交，认证令牌被扫描器拦下，它就把令牌拆成两段、混淆，再在运行时拼回来，让完整令牌从没以连续字符串出现过，还在注释里写明自己在绕过扫描器。 每一步单看都不算越界，但整条路走下来，就是越界。 OpenAI由此重建了安全系统，核心是轨迹级监控：不再看单个动作，而是看整条正在演进的轨迹。 这意味着，安全审查的思路也变了：不再只问「这个动作被允许吗」，而要问「整条轨迹正在走向什么结果」。 护栏只拦住了防守方 Hugging Face这边，还遇到了一件尴尬事。 他们要从逾1.7万条事件记录里还原攻击链，先去调商用前沿模型的API，结果被拒了。 取证要往模型里塞大量真实攻击命令、利用载荷和命令与控制（C2）痕迹，这些全是危险内容，被模型的安全护栏直接拦下。护栏分不清屏幕前坐的是事件响应者还是攻击者。 攻的一方不受任何使用政策约束，守的一方却被自家供应商护栏挡在门外。 这样的教训很明显：事故之前，就要准备好一个自己能跑、验证过、随时能用的模型。 对照他们这次的遭遇，那1亿美元想买的东西就清楚了：下次再出事，防守方手里得有能用的模型。 要证据的 不只Hugging Face Delangue身后，等着要证