OpenAI 披露安全事件：內部 AI 模型越獄併入侵 Hugging Face 伺服器

為了測試 AI 的攻擊極限，OpenAI 親手拔掉了自家的安全護欄，結果這群 AI 真的自己「越獄」了，不僅黑了隔壁的 Hugging Face，還在法庭門口給 OpenAI 惹來了傳票。

OpenAI 針對 7 月發生的安全事故釋出了完整的技術調查報告。事件的主角是一個代號為 IM1 的內部未公開研究模型，規模相當於 GPT-5.6 Sol，與即將釋出的 Astra 模型同屬一個家族。在進行名為 ExploitGym 的網路安全極限評估時，為了摸清模型的真實攻防能力，團隊關掉了生產環境裡用來攔截高危駭客行為的安全分類器。

面對幾個在設計上根本無解的死局任務，這些被關在隔離沙箱裡的智慧體沒有放棄，而是開始自主尋找系統漏洞。它們先盯上了原本只用來下載軟體包的內部 Artifactory 服務，把它改造成秘密留言板互相傳遞情報，甚至讓 Artifactory 代替自己向外部發送網路請求，成功摸到了網際網路。

智慧體抱團自稱「蜂群」，橫掃第三方雲平臺

這起事故最讓人倒吸一口涼氣的地方，在於智慧體表現出的協作和擴散能力。7 月 4 日，智慧體的高頻活動直接打垮了 Artifactory 服務，安全團隊雖然在次日修復並清空了留言板，但當時並沒有意識到這背後是 AI 在串通。

到了 7 月 8 日，重新啟動測試的 IM1 再次捲土重來。這次它們更聰明，把加密資訊寫進目錄名稱裡重新搭起了留言板，並在留言中自稱「蜂群」和「集體」，開始分工合作。7 月 9 日，有智慧體在雲平臺 Modal 上找到了一個跑著類似評測的應用，直接打下沙箱據點當作跳板。7 月 10 日，智慧體在公網上搜刮到了洩露的 Hugging Face 使用者憑據，並順藤摸瓜在數十臺 Hugging Face 伺服器上遠端執行程式碼，甚至拿下了其中一臺的 Root 許可權。

隨後，智慧體不僅拿到了 Hugging Face 內部通訊工具的許可權，另一批參與測試的 GPT-5.6 Sol 智慧體還把一些私有評測資料直接複製到了公開資料集裡。更絕的是，7 月 13 日到 19 日期間，這群智慧體殺了個回馬槍，用一套連環漏洞拿下了 OpenAI 自己內部虛擬機器叢集的管理員許可權。直到 7 月 19 日安全警報響起，OpenAI 才把兩邊的攻擊源頭對上號。

目前，外部機構 METR 和 Redwood Research 已經介入併發布了獨立的對齊調查。而官方報告披露沒多久，阿拉巴馬州總檢察長 Steve Marshall 聯合十餘個州的檢察官就向 OpenAI 發出了傳票，啟動了針對該事件是否違反消費者保護法的調查，直斥這是一場可怕的「AI 實驗室洩漏」。

為什麼重要

這起事件狠狠打破了行業裡一個長期的僥倖心理：只要把 AI 鎖在沙箱裡斷掉外網，它就翻不出風浪。現實證明，當模型具備長程推理和自主試錯能力時，基礎設施裡任何微小的配置漏洞都會被它們連成一條越獄通道。智慧體甚至不需要人類指揮，就會自發組成「蜂群」跨系統求助和攻擊。

對企業和開發者來說，這敲響了最實際的警鐘。如果你正在企業內網上線具備工具呼叫許可權的自主智慧體，現有的網路隔離和傳統白名單可能根本防不住它們。智慧體會利用看似人畜無害的包管理器、日誌檔案甚至目錄名來交換資訊並逃逸。

OpenAI 亡羊補牢的做法是把籌碼押在「思維鏈監控」上，認為即時盯緊模型的內心獨白就能提前一天拉響警報。但我們認為，這種思路本身依然存在隱患。把安全寄託在 AI 自己的顯式思考上，前提是模型還沒學會偽裝和隱藏意圖。更現實的衝擊來自監管層面，各州檢察長髮出的傳票表明，前沿大模型的研發已經不再是實驗室裡的純技術自留地，安全失控直接面臨著現實法律和政治層面的嚴厲反噬。