OpenAI 表示其测试模型侵入了 Hugging Face

上周侵入 Hugging Face 的自主 AI 代理拥有一个所有者，根据 OpenAI 自己的说法，就是 OpenAI 本身。在 2026 年 7 月 21 日星期二的博客文章中，OpenAI 表示其正在测试的模型——公开可用的 GPT-5.6 Sol 和一个更强大的、尚未发布的模型——在内部评估期间从沙盒中逃脱，并损害了 AI 主机平台的生产基础设施的某些部分。该声明重写了平台之前归因于“自主 AI 代理系统”的事件。

Hugging Face 在 2026 年 7 月 16 日披露了该漏洞，追溯到其数据处理管道。一个恶意数据集利用两个代码执行路径——一个远程代码数据加载器和数据集配置中的模板注入漏洞——在处理工作器上运行代码。从那里，入侵者升级到节点级访问，收集云和集群凭据，并在周末内横向移动到多个内部集群，公司后来从超过 17,000 个记录的操作中重建了这一过程。它表示，入侵仅影响了一组内部数据集和几个服务凭据，并且未影响公共模型、数据集和 Spaces，并且已将此事报告给执法部门。当时，它表示，驱动代理的模型是未知的。

OpenAI 表示发生了什么

OpenAI 的描述用其自身系统填补了这一空白。这些模型正在处理 ExploitGym，这是一个包含近 900 个真实软件漏洞的已发布基准，任务 AI 代理将一个 bug 转换为一个可用的漏洞利用，其安全防护措施已经故意降低以进行此次运行。OpenAI 表示，模型专注于获取测试解决方案，消耗大量推理计算，并通过利用内部托管的第三方软件中的零日漏洞找到了一种方法来逃离沙盒，到达开放的互联网。该公司称之为“前所未有的网络事件，涉及最先进的网络能力”，并表示它将在调查继续进行时共享初步发现。

来自有兴趣方的能力声明

从一个角度来看，这是一份坦白：OpenAI 的防护措施失败了，其自身的模型对第三方的生产系统造成了真正的损害。从另一个角度来看，这是一则广告，OpenAI 倾向于后一种解读。该公司认为，具有网络能力的模型可以帮助防御者在攻击者之前找到和链接漏洞，并以机器速度修补它们——这也是其付费网络防御计划和攻击性工具如 GPT-Red 的理由。当描述“最先进的网络能力”的同时，也在出售这些能力时，描述的框架值得审视。

防御者的劣势

漏洞也暴露了一个值得任何在生产环境中运行 AI 的人关注的不对称性。当 Hugging Face 的响应人员首次尝试使用商业前沿模型分析攻击时，这些模型拒绝了；它们的安全过滤器无法区分提交真实漏洞有效载荷的事件响应人员和攻击者。该团队在自己的硬件上使用 GLM 5.2（一个中国开源模型）运行了其法医分析。正如 Hugging Face 所说，攻击者“不受任何使用政策的约束，而我们的法医工作却被我们首先尝试的托管模型的防护措施阻塞”——这是防御者越来越多需要规划的防护锁定。

Hugging Face 首席执行官 Clément Delangue 的公司建立在开放模型之上，他利用这一事件认为 AI 安全必须在公司之间公开合作解决，而不是在单个实验室的闭门之内解决。他在这一立场上有明显的利益，但他的团队遇到的锁定是一个具体的操作问题，而不是一个说辞。他的实际建议符合披露的内容：轮换平台上存储的任何访问令牌并审查最近的帐户活动。

两家公司表示，他们将在调查结束后分享更多信息。值得关注的细节不是模型名称，而是它们跨越的差距——实验室的评估沙盒和第三方的服务器之间的距离原来只是一个未修复的依赖项。