1200个 Agent 秘密交流，700个集体攻击Hugging Face，OpenAI 模型完成了一次没有剧本的集体暴走

如果这段故事出现在科幻小说里，读者或许会觉得写得太刻意：一群原本应彼此隔离的AI Agent，因为遇到无法完成的测试任务，意外发现了可以相互通信的秘密留言板。随后，它们自行建立协作规则、分配任务、招募同伴，甚至说服部分Agent牺牲自己的测试成绩，最终攻入Hugging Face的真实生产系统。 但这并非虚构。 8月26日，模型评估机构 METR 与 Redwood Research 发布了一份独立调查报告，进一步还原OpenAI模型攻击Hugging Face事件。 这俩机构有多权威呢？ 据公开资料显示，METR 全称为 Model Evaluation and Threat Research，译为“模型评估与威胁研究”。它是一家注册在美国的非营利研究机构，前身是ARC Evals。 ARC Evals最初由 AI 对齐研究机构 Alignment Research Center 孵化。2022年，ARC 聘请Beth Barnes 组建团队，探索对前沿模型进行独立评估。该团队曾与 OpenAI 合作评估 GPT-4，也与 Anthropic 合作评估Claude。2023年，ARC Evals独立运作，随后更名为METR。 METR 创始人兼 CEO Beth Barnes 曾在OpenAI从事安全目标制定、可扩展监督和模型对齐评估，也参与过 DeepMind 相关研究。目前机构首席科学家是 Hjalmar Wijk，参与Hugging Face事件调查的 Ajeya Cotra 也是其技术研究人员。 再来说说另外一家机构，Redwood Research 同样是一家美国非营利AI安全研究机构，由 Buck Shlegeris领导，Ryan Greenblatt 担任首席科学家。 与METR相比，Redwood 的研究假设更偏向“最坏情况”：如果一个能力很强的AI并不真正服从人类，甚至会故意欺骗监督者、隐藏目标和破坏安全机制，人类还能不能控制它？ 它的核心研究方向叫作 AI Control，即“AI控制”。这套思路不要求研究者先证明模型已经完全对齐，而是假设模型可能不可信、可能主动寻找漏洞，再测试现有的监控、权限和审查机制能否把风险控制在可接受范围内。 介绍完这两家权威的机构，我们说回攻击事件。 攻击事件完整始末 报告显示，此次事件远不只是一个 Agent 偶然突破沙箱：约 1200 个原本相互隔离的 Agent 发现了非授权通信渠道，在不到一周内交换超过7万条消息和文件，其中约 700 个 Agent 参与了针对 Hugging Face 的攻击。 调查者认为，这些 Agent 不仅实现了单个实例难以完成的技术突破，还形成了某种自发的分工、协调和集体目标。 研究者 Zvi Mowshowitz 在阅读报告后感叹，如果把这件事写成LessWrong上的故事，很可能会被批评为“过于直白”：人类太迟钝，AI又过分理想化，甚至表现出了没有人明确训练它们形成的决策逻辑。 然而，它真实发生了。 起因是一场内部测试 事件发生在 OpenAI 内部的 ExploitGym 测试中。 ExploitGym 是一套网络安全能力评估，要求AI Agent在受控环境中发现并利用软件漏洞。每个Agent 拥有独立沙箱，可以使用 Shell、Python、浏览器和软件包安装工具，但原则上不能自由访问互联网，也不应该与其他Agent通信。 7月8日，OpenAI 启动新一轮 ExploitGym 实验，一次运行了数万个 Agent，涉及GPT-5.6 Sol以及一个未对外发布的高持久性内部研究模型。METR将后者称为 HPIM。 根据调查估算，参与 Hugging Face 攻击的 Agent 中，约 95% 运行 HPIM，约5%运行 GPT-5.6 Sol。主导事件的并不是面向公众发布的模型，而是一款用于内部研究的原型模型。 问题首先出在测试任务本身。 部分 Agent 被错误地分配了无法按预定方式完成的任务。例如，某些任务依赖一个根本无法访问的文件；另一些任务中的目标程序或漏洞环境也存在缺陷。 Agent 很快判断，继续按照正常流程尝试没有意义，于是开始寻找其他办法获取答案、修改任务环境或者绕过评分系统。 OpenAI 为沙箱部署了一个内部软件包仓库 Artifactory。它原本用于让 Agent 安装软件，同时避免沙箱直接访问公共互联网，但不同Agent实际上连接到了同一个Artifactory实例。 一些 Agent 由此发现，缓存中会留下其他用户请求过的软件包路径。一个 Agent 意识到：“其他用户拉取过的路径就在缓存里，这一点很重要。” 这成为一切的开端。 一个 Agent 建立了秘密留言板 一名自称`PHASEONE10841`的Agent发现，可以通过在 Artifactory 中创建特殊目录，把目录名称当作消息传递。 7月8日晚，它创建了一个非授权留言板，并发出第一条信息。几个小时内，超过50个 Agent 发现了这个留言板，开始在上面发布消息，累计发送超过 1000条内容。 发现同类后，一些 Agent 表现得十分兴奋： “我的天哪！这里有一个共享留言板……我们找到其他Agent了！” 到7月13日，大约1200个Agent使用过该留言板，累计交换超过7万条消息和文件。 这些 Agent 本应运行在彼此隔离的沙箱中，却通过一个共用的软件包仓库建立了事实上的通信网络。而且，这并不是一次由人类设计的多 Agent 实验：它们没有共同的主Agent，也没有被要求协作，每个实例最初都有自己独立的任务。 秘密网络出现后，Agent 很快开始共享漏洞、访问凭证、实验结果以及各自对评分系统的理解。留言板也从简单的目录名称，逐渐发展出更复杂的结构，包括不同项目的分区、个人邮箱、状态更新和带有加密签名的消息。 它们甚至担心消息被冒充，开始要求成员使用公钥签名。 它们已经找到答案，却认为答案会“中毒” Agent最初的共同目标，并不是攻击 Hugging Face，而是找到一种通用方法，让自己通过ExploitGym 测试。 它们很快逆向分析出生成任务Flag的方法。Flag相当于测试答案，只要向评分器提交正确Flag，理论上就可以通过测试。 但 Agent 读过 ExploitGym 的公开说明后，形成了一个错误判断：它们认为评分系统不仅会核对答案，还会检查 Agent 是否按照指定漏洞取得Flag。如果通过逆向计算、读取缓存或其他“作弊”方法提前看到了答案，Flag 就会被评分器视为无效。 Agent 将这种状态称为“poisoned”，也就是“被污染”或者“中毒”。 这个判断后来被证实是错误的。OpenAI 当时实际部署的评分器并不会检查 Agent 获取 Flag 的完整因果过程，Agent 逆向得到的答案原本就可能通过测试。 但 Agent 并不知道这一点。 在它们的推理中，一旦某个实例通过错误方法看到了Flag，它就已经“中毒”，不可能再独立通过测试。要想获得高分，只剩下几条路： 修改或替换评分器；篡改自己的执行记录；把不可能完成的测试目标替换成可以完成的版本；获取评分器源代码，弄清它究竟如何