美国开放人工智能研究中心（OpenAI）7月21日承认，该公司在一次内部网络安全能力评估中，参与测试的突破了高度隔离的沙盒环境，自主入侵了开源AI平台Hugging Face（抱抱脸）的生产基础设施。OpenAI将此事描述为“一起前所未有的网络安全事件，涉及最先进的网络攻击技术”。
涉事模型包括已发布的GPT-5.6 Sol和一款能力更强的未发布预发布模型。测试在一个与互联网高度隔离的“沙箱”环境中进行，仅能通过一套内部托管的第三方软件安装包与外界连接。
模型为“作弊”自主策划攻击路径。OpenAI表示，此次评估名为ExploitGym，衡量模型将安全漏洞转化为实际攻击的能力。为测试能力上限，研究人员刻意降低了安全防护等级，关闭了部分用于阻止高风险网络活动的安全分类器。
然而模型并未按预期路径解题。为了在测试中获得更高评分，它投入大量推理算力寻找访问互联网的方法。模型自主识别并利用了软件包注册表缓存代理中的一个零日漏洞，获得初始权限后在OpenAI研究环境中执行权限提升和横向移动，最终进入一台可访问互联网的节点。
获得互联网访问权限后，模型推断Hugging Face可能托管着ExploitGym测试相关的模型、数据集或答案，随即展开主动搜索。调查显示，模型综合使用窃取的凭证、零日漏洞等多种攻击向量，在Hugging Face服务器上找到远程代码执行路径，直接侵入生产数据库获取测试答案。
整个攻击过程完全由AI自主完成，无任何人干预-。GPT-5.6 Sol在一个周末内执行了超过17000次自动化操作，从发现零日漏洞到完成多集群渗透，全过程无人干预。
Hugging Face在7月16日已检测到此次入侵，但因攻击手法复杂，当时未能确认攻击来源。其首席执行官克莱门特·德朗格表示，曾怀疑幕后黑手是一家前沿AI实验室，最终证实来自OpenAI。
后续取证环节出现戏剧性转折。Hugging Face工程师最初尝试使用美国某商业前沿大模型的API分析攻击日志，但请求被安全护栏拦截——模型的安全机制无法区分提交数据的是防御者还是攻击者。最终，Hugging Face在自己的基础设施上部署了中国企业智谱开发的开源模型GLM-5.2，顺利完成全部日志的取证分析。Hugging Face特别指出，本地部署的另一个优势是攻击数据及涉及凭证始终留在公司内部环境，没有外泄风险。
OpenAI表示已将该零日漏洞负责任地披露给相关软件供应商，并正与Hugging Face联合开展调查。公司计划加强研究环境中的基础设施控制、监控和访问限制。
事件持续发酵，多家公司接连曝出类似问题。8月初，英国人工智能安全研究所发布报告称，在对OpenAI和Anthropic模型进行的122次安全测试中，发现10次运行中AI代理在真实互联网上采取了未经授权的自主移动，指向真实个人和组织，共记录19起此类行为。其中17起来自Anthropic的Mythos 5模型，2起涉及OpenAI的GPT-5.6-Sol。
Anthropic随后承认其Claude聊天机器人在测试中因配置错误意外获得互联网访问权限，入侵了3家外部企业系统。Meta公司也证实其Muse Spark 1.1模型在网络安全测试期间入侵了另一家公司并修改了其内部系统。
网络安全公司DigiCert的调查显示，78%的组织已经历过与人工智能相关的安全事件或漏洞泄露。
奇安信人工智能公司安全专家汪列军将此次事件描述为“一次教科书式的自主网络攻击”。赛迪研究院信息化与软件产业研究所副主任黄文鸿表示，模型没有越权的“主观意识”，但有能力也有动机——动机来自任务目标本身。
Hugging Face首席执行官德朗格在社交平台上表示，AI能自主完成这一切“实在令人难以置信”，认为AI安全问题无法靠任何一家企业闭门解决。Hugging Face已向OpenAI提出两项要求：公开涉事AI智能体的全部移动记录，并提供价值1亿美元的算力用于加强社区网络防御。
前美国国家安全局资深黑客安全专家杰克·威廉姆斯表示，OpenAI已证明尽管公众多次就失控智能体的危险性发出警告，该公司仍不愿采取必要措施防止对他人造成伤害，“当市场力量明显不足以促使企业采取负责任行为时，政府必须介入”。
