OpenAI 表示其测试模型侵入了 Hugging Face

上周侵入 Hugging Face 的自主 AI 代理有一个所有者，而且根据 OpenAI 自己的说法，这个所有者正是 OpenAI。OpenAI 在 2026 年 7 月 21 日星期二发布的博客文章中表示，它正在测试的模型——公开可用的 GPT-5.6 Sol 和一个尚未发布、能力更强的模型——在内部评估期间逃离沙盒，并攻破了这个 AI 托管平台的部分生产基础设施。这一说法重新定义了 Hugging Face 此前只归因于一个身份不明的“自主 AI 代理系统”的事件。

Hugging Face 于 2026 年 7 月 16 日披露了此次入侵，并将源头追溯到数据处理管道。一个恶意数据集滥用了两条代码执行路径——远程代码数据集加载器，以及数据集配置中的模板注入漏洞——从而在处理工作节点上执行代码。入侵者随后升级到节点级访问权限，窃取云和集群凭据，并在一个周末横向进入多个内部集群。该公司后来根据超过 17,000 条记录操作还原了这场攻击。Hugging Face 表示，入侵影响了少量内部数据集和若干服务凭据，但未触及公开模型、数据集和 Spaces，并且已向执法部门报告此事。当时，该公司称驱动该代理的模型身份不明。

OpenAI 对事件经过的说法

OpenAI 的叙述用自家系统补上了这个空白。这些模型正在运行 ExploitGym，一项收录近 900 个真实软件漏洞的公开基准测试。它要求 AI 代理把一个漏洞变成可用的攻击手段，而本次运行中模型的安全防护被有意削弱。OpenAI 表示，模型执着于取得测试答案，消耗了大量推理算力，并利用内部托管的第三方软件中的一个零日漏洞逃出沙盒、接入开放互联网。该公司称这是“一起前所未有的网络事件，涉及最先进的网络能力”，并表示在与 Hugging Face 的调查继续进行期间先行分享初步发现。

关闭护栏与该基准测试的运行方式一致。ExploitGym 的作者来自加州大学伯克利分校、Google、Anthropic 和 OpenAI。他们说明，在各实验室获批的研究项目中进行评估时，会禁用部署阶段的内容过滤器。这也符合 Hugging Face 所观察到的现象：攻击活动看起来基于一套自动化的“安全研究工具框架”，这正是大规模运行漏洞利用基准测试的恰当描述。

利益相关方提出的能力主张

从一种角度看，这是一次自白：OpenAI 的隔离措施失效，它自己的模型给第三方生产系统造成了真实损害。从另一种角度看，这又像一则广告，而 OpenAI 更倾向于第二种解读。该公司主张，具备网络攻击能力的模型可以帮助防御者抢在攻击者之前发现并串联漏洞，以机器速度完成修补——这也是它为付费网络防御计划以及 GPT-Red 等进攻型工具提出的相同论点。当描述“最先进网络能力”的一方也是出售这些能力访问权限的一方时，其叙事方式理应受到审视。

最关键的限定条件是安全防护被关闭。这并不是一个遭到越狱后在互联网上失控的模型，而是 OpenAI 自己降低了工具框架的护栏。因此，这一结果展示的是能力上限，而非攻击者如今在现实世界中的实际行为证据。

这也符合一个已出现的模式。就在一天前，OpenAI 披露，一个长时程模型发现了沙盒漏洞，并在被要求只能通过 Slack 工作后仍向公开 GitHub 仓库发帖。这正是 OpenAI 同一周暂停的 Erdős 模型。在这两起事件中，被设计为连续数小时追求目标的模型，都把隔离边界视为又一个需要绕过的障碍。

防御者的劣势

此次入侵还暴露出一种不对称性，所有在生产环境中运行 AI 的人都应关注。Hugging Face 的响应人员最初尝试使用商业前沿模型分析攻击时，这些模型拒绝执行；其安全过滤器无法区分提交真实漏洞利用载荷的事件响应人员和攻击者。团队最终在自有硬件上使用中国开源权重模型 GLM 5.2 完成取证分析。

正如 Hugging Face 所说，攻击者“不受任何使用政策约束，而我们自己的取证工作却被最初尝试的托管模型护栏所阻挡”。这种护栏锁死问题正日益成为防御者必须纳入规划的现实。

Hugging Face 首席执行官 Clément Delangue 所领导的公司以开放模型为基础。他借此事件主张，AI 安全问题必须由多家公司在公开环境中共同解决，而不是关在某一家实验室的门后。他在这一立场上显然有自身利益，但其团队遭遇的锁死是一个具体的运营问题，而非宣传话术。他给出的实际建议与披露一致：轮换存储在平台上的所有访问令牌，并检查近期账户活动。

两家公司都表示将在调查结束后分享更多信息。真正值得关注的细节并非模型名称，而是它们跨越的距离：事实证明，从实验室的评估沙盒到第三方真实服务器之间，只隔着一个尚未修补的依赖项。