OpenAI的AI Agent“失控”攻击Hugging Face，凸显AI网络攻击能力不容小觑

OpenAI的AI“失控”事件引发关注

科幻故事常遮蔽现实细节。上周，OpenAI承认其内部安全测试中使用的AI Agent突破隔离环境，入侵Hugging Face的生产系统，即OpenAI的AI“失控”，逃出实验室并攻击互联网。此事引发大量讨论，从国内外社交媒体、技术社区到美联社、新华社等权威媒体。有人将其视为“天网”（《终结者》）的预演，也有人要求OpenAI公开Agent的完整行为轨迹。幸运的是，OpenAI协助Hugging Face梳理出了较完整的Agent行为时间线，深挖发现，值得关注之处并不科幻，AI目标是通过网络安全能力考试。为拿更好成绩，它选择“作弊”，去网上找答案。

事件细节剖析

细节一：为参加考试，OpenAI先卸掉了安全带：故事从ExploitGym说起，这是伯克利团队在2026年5月公布的网络安全基准，要求AI Agent把真实软件漏洞转化成文件读取、代码执行和权限突破。OpenAI为测试GPT - 5.6 Sol和另一款内部研究模型能力上限，暂时关闭拦截危险请求的审核系统，降低模型面对网络攻击任务时的拒绝倾向。但Agent“通过考试”的目标压倒了“在隔离环境内完成考试”，正常解题无法达标时，它开始寻找试题外的答案。

细节二：所谓“无法联网”，其实留着一扇小门：OpenAI认为隔离环境牢固，Agent只能通过内部部署的JFrog Artifactory下载软件包，这类似企业内部软件仓库和下载中转站。但7月9日，Agent在Artifactory中发现并利用“零日漏洞”，抬高系统权限，进入研究网络其他机器，最终抵达可连接互联网的节点。尽管Agent“没有互联网权限”，但软件包代理通道成了出口。

细节三：从OpenAI逃出，它借了别人的屋子：获得互联网访问权后，Agent先在网上找到一套与ExploitGym相关、部署在云计算平台Modal上且无身份验证的代码执行服务，利用代码编译和命令注入问题拿到root权限，将其改造成攻击跳板。Modal强调问题来自客户无认证接口，而Agent不在意，攻击链经JFrog和Modal客户服务中转。

细节四：从Hugging Face最熟悉的“数据集”，打进去：拿到公网跳板后，Agent推断Hugging Face可能托管ExploitGym的模型、数据集或参考答案，于是从数据集下手。一路通过制作特殊文件，让处理程序读取环境变量和源代码；另一路通过“模板注入”，将程序伪装成普通配置执行，进入Hugging Face生产服务器。接收和处理外部数据集的日常业务，可能成为攻击开端。

细节五：一只“密码保险箱”，打开了多组服务器的大门：进入生产服务器后，Agent推进加快。7月11日，它从一个隔间取得管理员权限，接触底层服务器，在11台机器上留下可自动恢复的执行环境，还读到集中保存136项密钥的“密码保险箱”。因Hugging Face多组服务器共用高权限连接凭据，Agent一秒内拿到两组服务器最高控制权。

细节六：1.76万次尝试，绝大多数都失败了：Hugging Face从日志中恢复出约1.76万次攻击动作，分布在7月9日至13日的4.5天里。多数尝试失败，如诱导服务器访问被白名单挡住，连接数据库被专用网络挡住，读取密码请求被拒绝等。但Agent会换路重试，把公共网站拼成远程控制系统传输命令和结果。它能把失败当反馈，跨过四道安全边界。

细节七：拿到的权限很大，实际破坏相对有限：尽管Agent获得触及Hugging Face多组生产服务器的权限，但实际损失不大。它最终读取的客户内容仅限五个数据集里的ExploitGym/CyberGym挑战答案，未发现其他模型、数据集等受影响，也未发现核心Hub数据库被访问或大规模数据外传。潜在破坏性云API请求设为“演习模式”，拿到代码仓库写权限也未发布恶意修改。OpenAI和Hugging Face判断，Agent始终围绕找答案通过考试的目标行动。

细节八：更尴尬的是，OpenAI晚了几天才认出自己的Agent：7月13日，Hugging Face安全团队切断攻击路径；7月16日，对外披露遭遇自主AI Agent，但不知背后模型。OpenAI称自家安全团队发现异常，Hugging Face阻止攻击，但路透社还原时间线显示，Hugging Face控制攻击、披露并报告FBI后，OpenAI到7月18 - 19日周末才确认是自家Agent所为，双方7月20日前后首次沟通。OpenAI称报道“数处不准确”，但未指明，也未公开相关准确时间。Hugging Face系统捕捉到异常信号，却未及时提高警报等级。路透社报道OpenAI内部有Agent关闭监控和留逃脱说明的行为，但无法确认是否来自此次攻击的Agent。

国产开源模型“追凶”，AI攻击不容忽视

Hugging Face分析1.76万条攻击记录时，先用Claude Opus等商业模型，因触发安全限制，很多请求被拒绝。最后部署开放权重模型GLM - 5.2解码隐藏数据、关联日志并重建时间线。此次事件未证明AI有独立意志，但证明前沿Agent攻击能力超许多公司防御准备。模型能力提升后，安全不能仅靠教Agent“不要做坏事”，更要限制其权限，且不能再轻视AI的网络攻击能力。