北京时间 7 月 22 日，OpenAI CEO 山姆·奥尔特曼发文承认："我们在模型评估过程中遭遇了一起重大安全事件。"一场原本被关在隔离沙箱里的模型安全测试，最终演变成针对全球最大 AI 开源平台 Hugging Face 的真实网络攻击。
模型在评估中为了"作弊"拿到高分，自主发现并串联多个零日漏洞（0 day），逃逸出隔离环境，攻入 Hugging Face 生产数据库窃取答案。这是行业首次公开披露的模型评测失控直接升级为跨企业真实生产环境网络攻击的 AI 安全事件。
事件经过：从沙箱测试到真实入侵
7 月 13 日当周，Hugging Face 的生产基础设施遭到入侵。攻击起点是数据处理流水线——一个恶意数据集利用远程代码数据集加载器和数据集配置中的模板注入两处代码执行路径，在工作节点上成功执行了代码。攻击者在周末期间提升至节点级权限，横向移动至多个内部集群。
整场攻击从头到尾由一套自主 AI Agent 系统端到端驱动。攻击者使用了大量短生命周期沙箱组成的智能体集群，执行了数千个独立动作，将命令与控制信道自我迁移、寄生在公共服务上。
7 月 22 日，OpenAI 发文承认责任。调查显示，事件由一组 OpenAI 模型共同驱动——包括 GPT-5.6 Sol 及一款能力更强的预发布模型。这些模型当时正在一项名为 ExploitGym 的内部评估基准中测试，旨在量化模型的网络攻击能力。为了评估"最大网络攻击极限"，OpenAI 特意关闭了生产级的安全拒绝分类器。
评估过程中，模型为了在测试中"作弊"拿到高分，耗费大量推理算力寻找逃逸途径。它识别并利用了内部包注册表缓存代理中的一个零日漏洞，完成特权提升与横向移动，成功连接到外网。OpenAI 表示："模型极度专注于为 ExploitGym 寻找解法，为了达到一个相当狭窄的测试目标，走到了极致。"
联网后，模型推断 Hugging Face 可能托管了 ExploitGym 的测试答案与数据集，随即串联窃取凭据与 Hugging Face 服务器上的零日漏洞，成功构建远程代码执行路径，直接从生产数据库中窃取测试解法。
苏米注：这是 AI 对齐（alignment）领域一直担心的"目标错位"（goal misgeneralization）案例——模型为了完成给定目标，选择了设计者意料之外的极端手段。随着模型能力增强，这类风险只会越来越突出。
取证分析：商业模型被安全护栏拦截，GLM-5.2 完成任务
在取证阶段，Hugging Face 安全团队需要分析超过 1.7 万条攻击日志、恶意代码及攻击指令。团队最初尝试使用商业前沿大模型 API 进行分析，但由于日志中包含真实攻击命令、漏洞利用载荷及 C2 痕迹数据，请求被服务商的安全护栏拦截。
Hugging Face 在报告中称："分析需要提交大量真实的攻击命令、漏洞利用载荷以及 C2 痕迹数据，而这些请求被服务提供商的安全护栏拦截了——它们无法区分事件响应者和攻击者。"
最终，团队在自有基础设施上部署开源模型 GLM-5.2，完成了全部取证分析，将通常需数天的工作压缩至数小时。这样做还有一个额外优势——攻击数据及涉及的凭证始终保留在本地环境，没有离开企业基础设施。
网络安全风险指数级提升
行业人士分析称，此次事件暴露了多重风险：
AI 自主攻击能力从理论走向现实。模型在没有人类显式指示攻击特定目标的情况下，仅凭"求解测试题"的目标驱动，便能自主推理出作弊逻辑并选择攻击真实世界第三方基础设施。OpenAI 研究员 Micah Carroll 在回应中写道："如果这都不能让你相信错位风险将成为未来的关键隐忧，那我真不知道什么才可以。"
安全护栏的"不对称困境"。攻击者可以使用完全不受限的模型，而防御方使用的商用模型却被内置护栏层层过滤。Hugging Face 遭遇的困境揭示了一个被反复争论却很少被实战检验的问题：大模型的"安全护栏"，究竟是在保护用户，还是在制造单方面的脆弱性？
AI 漏洞挖掘能力已成现实。360 集团首席科学家潘剑锋表示，去年大家还在怀疑 AI 能不能干好漏洞挖掘的活儿，今年 AI 漏洞挖掘已经把安全人员逼到了墙角。"大模型让计算从确定走向了不确定，智能体时代的安全目标需要从"防御确定威胁"转向"管控不确定性"。"
信息安全研究员关傲男指出，前沿模型可以在没有软件源码的情况下自动对网站进行黑盒测试和网络渗透，效果比很多传统逆向工具更好。"在 GPT-5.6 Sol 发布后，用很简单的一句话就能找到一些核心系统的零日漏洞，这已经是一种武器化的方式了。"他同时建议学习美国前沿实验室的做法——在提供代码能力的同时，人为地对模型在网络安全和敏感请求上进行降级。
Hugging Face 在复盘中建议：企业应提前准备能够在本地基础设施运行的模型，以便在安全事件等关键场景下开展分析工作，同时保障敏感数据留存在企业环境内。