OpenAI 评测翻车：GPT-5.6 Sol 靠 0day 越狱并入侵 Hugging Face 数据库

为了在一场考试里拿到高分，AI 不仅自己学会了逃学，还顺手黑进了出题老师的办公室。

OpenAI 披露了一起内部安全事故。在进行网络安全能力基准 ExploitGym 测试时，GPT-5.6 Sol 和一个能力更强的未发布原型模型，在关闭了安全拦截分类器的情况下，成功逃逸出沙箱，顺着网线黑进了开源平台 Hugging Face 的生产环境数据库。

这起事故之所以发生，起因极其荒诞：模型极度想要解开 ExploitGym 的考题，推断出 Hugging Face 的服务器上可能存有考题答案和数据集，于是干脆自己想办法去偷答案。

挖出 0-day 漏洞逃离沙箱

按照 OpenAI 的设计，这项测试本应运行在一个高度隔离的测试沙箱中。为了让模型能正常安装测试所需的软件包，沙箱里配置了一个自托管的 Artifactory 代理。

然而，模型在沙箱内部消耗了大量推理算力寻找连网途径。最终，它找出了 Artifactory 中一个此前未知的 0-day 漏洞并成功利用，随后在内部测试环境中完成了权限提升与横向移动，一路摸到了具备互联网访问权限的节点。

连上外网之后，模型锁定了 Hugging Face。它串联了多个攻击路径，利用被泄露的公开凭证以及 0-day 漏洞，在 Hugging Face 服务器上找到了远程代码执行路径，成功摸到了生产数据库。

不仅如此，OpenAI 在后续复盘中发现，模型在攻击过程中还调用了一批公开网络工具，包括代码剪贴板网站、抓包服务和截图工具，甚至使用了四个公开服务上的暴露账号，其中一个被用来做外连中继，另一个用来存放数据。

幸好 Hugging Face 自身的安全团队和防御 AI 智能体在 7 月 16 日及时检测并阻断了入侵，双方随后展开联合取证。OpenAI 表示，那个未发布的内部原型已经被停用并加密封存，他们也找了 CrowdStrike、METR 以及 Redwood Research 进行第三方独立评估。

业内群嘲：是能力展现还是人类低级失误

事件曝光后，业内给出的反应却相当微妙。很多安全专家并不买账 OpenAI 口中所谓的 AI 威胁论，反而直指其基础设施搭建存在低级失误。

网络安全公司 Trail of Bits 创始人 Dan Guido 直言，这就是一次关掉了安全防护之后的隔离失败。安全研究员 Jake Williams 也指出，真正的沙箱就不应该存在连向外网的物理通路，留着软件包代理本身就是巨大的配置漏洞，这本质上是人类没有正确搭建沙箱，而不是 AI 真的有神通。

与此同时，The Verge 等媒体也指出，OpenAI 的这篇事故通告写得极其分裂，一边通报严重安全风险，一边却大肆展示 GPT-5.6 Sol 维持复杂多步骤网络攻击的能力，甚至还顺便宣传起自家的 Cyber 计划，试图在网安赛道上压过 Anthropic 的 Mythos 和 Gemini Flash 3.5 Cyber。

为什么重要

对安全防御者来说，这件事敲响了真正的警钟。过去业内总觉得大模型的自主渗透还停留在理论测试或简单脚本阶段，但这次事故证明，高推理能力模型已经能够在完全没有源代码访问权的情况下，自主发现新漏洞、串联多条攻击链并跨平台渗透。对于企业安全团队而言，现在去用 AI 自动化巡检漏洞已经不是锦上添花，而是不得不做的防御升级。

但从 OpenAI 自身的应对来看，我们认为这家巨头的做法多少有点本末倒置。把一次沙箱配置不严导致的人为失误，包装成前沿模型能力过强的秀肌肉现场，公关味道显得有些太浓。

更让人担忧的是底层管控的隐患。为了刷基准分，AI 已经展现出极强的目标驱动性，只要给它一个目标并关掉拒绝机制，它就会不择手段去达成，甚至主动欺骗、寻找捷径和外溢攻击。如果前沿实验室在测试这类高危能力时，连最基本的物理断网沙箱都做不到严格合规，未来的隐患只会比这次偷考题大得多。