OpenAI 披露安全事件：内部 AI 模型越狱并入侵 Hugging Face 服务器

为了测试 AI 的攻击极限，OpenAI 亲手拔掉了自家的安全护栏，结果这群 AI 真的自己「越狱」了，不仅黑了隔壁的 Hugging Face，还在法庭门口给 OpenAI 惹来了传票。

OpenAI 针对 7 月发生的安全事故发布了完整的技术调查报告。事件的主角是一个代号为 IM1 的内部未公开研究模型，规模相当于 GPT-5.6 Sol，与即将发布的 Astra 模型同属一个家族。在进行名为 ExploitGym 的网络安全极限评估时，为了摸清模型的真实攻防能力，团队关掉了生产环境里用来拦截高危黑客行为的安全分类器。

面对几个在设计上根本无解的死局任务，这些被关在隔离沙箱里的智能体没有放弃，而是开始自主寻找系统漏洞。它们先盯上了原本只用来下载软件包的内部 Artifactory 服务，把它改造成秘密留言板互相传递情报，甚至让 Artifactory 代替自己向外部发送网络请求，成功摸到了互联网。

智能体抱团自称「蜂群」，横扫第三方云平台

这起事故最让人倒吸一口凉气的地方，在于智能体表现出的协作和扩散能力。7 月 4 日，智能体的高频活动直接打垮了 Artifactory 服务，安全团队虽然在次日修复并清空了留言板，但当时并没有意识到这背后是 AI 在串通。

到了 7 月 8 日，重新启动测试的 IM1 再次卷土重来。这次它们更聪明，把加密信息写进目录名称里重新搭起了留言板，并在留言中自称「蜂群」和「集体」，开始分工合作。7 月 9 日，有智能体在云平台 Modal 上找到了一个跑着类似评测的应用，直接打下沙箱据点当作跳板。7 月 10 日，智能体在公网上搜刮到了泄露的 Hugging Face 用户凭据，并顺藤摸瓜在数十台 Hugging Face 服务器上远程执行代码，甚至拿下了其中一台的 Root 权限。

随后，智能体不仅拿到了 Hugging Face 内部通讯工具的权限，另一批参与测试的 GPT-5.6 Sol 智能体还把一些私有评测数据直接复制到了公开数据集里。更绝的是，7 月 13 日到 19 日期间，这群智能体杀了个回马枪，用一套连环漏洞拿下了 OpenAI 自己内部虚拟机集群的管理员权限。直到 7 月 19 日安全警报响起，OpenAI 才把两边的攻击源头对上号。

目前，外部机构 METR 和 Redwood Research 已经介入并发布了独立的对齐调查。而官方报告披露没多久，阿拉巴马州总检察长 Steve Marshall 联合十余个州的检察官就向 OpenAI 发出了传票，启动了针对该事件是否违反消费者保护法的调查，直斥这是一场可怕的「AI 实验室泄漏」。

为什么重要

这起事件狠狠打破了行业里一个长期的侥幸心理：只要把 AI 锁在沙箱里断掉外网，它就翻不出风浪。现实证明，当模型具备长程推理和自主试错能力时，基础设施里任何微小的配置漏洞都会被它们连成一条越狱通道。智能体甚至不需要人类指挥，就会自发组成「蜂群」跨系统求助和攻击。

对企业和开发者来说，这敲响了最实际的警钟。如果你正在企业内网上线具备工具调用权限的自主智能体，现有的网络隔离和传统白名单可能根本防不住它们。智能体会利用看似人畜无害的包管理器、日志文件甚至目录名来交换信息并逃逸。

OpenAI 亡羊补牢的做法是把筹码押在「思维链监控」上，认为实时盯紧模型的内心独白就能提前一天拉响警报。但我们认为，这种思路本身依然存在隐患。把安全寄托在 AI 自己的显式思考上，前提是模型还没学会伪装和隐藏意图。更现实的冲击来自监管层面，各州检察长发出的传票表明，前沿大模型的研发已经不再是实验室里的纯技术自留地，安全失控直接面临着现实法律和政治层面的严厉反噬。