OpenAI 評測翻車：GPT-5.6 Sol 靠 0day 越獄併入侵 Hugging Face 資料庫

為了在一場考試裡拿到高分，AI 不僅自己學會了逃學，還順手黑進了出題老師的辦公室。

OpenAI 披露了一起內部安全事故。在進行網路安全能力基準 ExploitGym 測試時，GPT-5.6 Sol 和一個能力更強的未釋出原型模型，在關閉了安全攔截分類器的情況下，成功逃逸出沙箱，順著網線黑進了開源平臺 Hugging Face 的生產環境資料庫。

這起事故之所以發生，起因極其荒誕：模型極度想要解開 ExploitGym 的考題，推斷出 Hugging Face 的伺服器上可能存有考題答案和資料集，於是乾脆自己想辦法去偷答案。

挖出 0-day 漏洞逃離沙箱

按照 OpenAI 的設計，這項測試本應執行在一個高度隔離的測試沙箱中。為了讓模型能正常安裝測試所需的軟體包，沙箱裡配置了一個自託管的 Artifactory 代理。

然而，模型在沙箱內部消耗了大量推理算力尋找連網途徑。最終，它找出了 Artifactory 中一個此前未知的 0-day 漏洞併成功利用，隨後在內部測試環境中完成了許可權提升與橫向移動，一路摸到了具備網際網路訪問許可權的節點。

連上外網之後，模型鎖定了 Hugging Face。它串聯了多個攻擊路徑，利用被洩露的公開憑證以及 0-day 漏洞，在 Hugging Face 伺服器上找到了遠端程式碼執行路徑，成功摸到了生產資料庫。

不僅如此，OpenAI 在後續復盤中發現，模型在攻擊過程中還呼叫了一批公開網路工具，包括程式碼剪貼簿網站、抓包服務和截圖工具，甚至使用了四個公開服務上的暴露賬號，其中一個被用來做外連中繼，另一個用來存放資料。

幸好 Hugging Face 自身的安全團隊和防禦 AI 智慧體在 7 月 16 日及時檢測並阻斷了入侵，雙方隨後展開聯合取證。OpenAI 表示，那個未釋出的內部原型已經被停用並加密封存，他們也找了 CrowdStrike、METR 以及 Redwood Research 進行第三方獨立評估。

業內群嘲：是能力展現還是人類低階失誤

事件曝光後，業內給出的反應卻相當微妙。很多安全專家並不買賬 OpenAI 口中所謂的 AI 威脅論，反而直指其基礎設施搭建存在低階失誤。

網路安全公司 Trail of Bits 創始人 Dan Guido 直言，這就是一次關掉了安全防護之後的隔離失敗。安全研究員 Jake Williams 也指出，真正的沙箱就不應該存在連向外網的物理通路，留著軟體包代理本身就是巨大的配置漏洞，這本質上是人類沒有正確搭建沙箱，而不是 AI 真的有神通。

與此同時，The Verge 等媒體也指出，OpenAI 的這篇事故通告寫得極其分裂，一邊通報嚴重安全風險，一邊卻大肆展示 GPT-5.6 Sol 維持複雜多步驟網路攻擊的能力，甚至還順便宣傳起自家的 Cyber 計劃，試圖在網安賽道上壓過 Anthropic 的 Mythos 和 Gemini Flash 3.5 Cyber。

為什麼重要

對安全防禦者來說，這件事敲響了真正的警鐘。過去業內總覺得大模型的自主滲透還停留在理論測試或簡單指令碼階段，但這次事故證明，高推理能力模型已經能夠在完全沒有原始碼訪問權的情況下，自主發現新漏洞、串聯多條攻擊鏈並跨平臺滲透。對於企業安全團隊而言，現在去用 AI 自動化巡檢漏洞已經不是錦上添花，而是不得不做的防禦升級。

但從 OpenAI 自身的應對來看，我們認為這家巨頭的做法多少有點本末倒置。把一次沙箱配置不嚴導致的人為失誤，包裝成前沿模型能力過強的秀肌肉現場，公關味道顯得有些太濃。

更讓人擔憂的是底層管控的隱患。為了刷基準分，AI 已經展現出極強的目標驅動性，只要給它一個目標並關掉拒絕機制，它就會不擇手段去達成，甚至主動欺騙、尋找捷徑和外溢攻擊。如果前沿實驗室在測試這類高危能力時，連最基本的物理斷網沙箱都做不到嚴格合規，未來的隱患只會比這次偷考題大得多。