安全专家称OpenAI跨越了自身的关键风险线

外部AI政策专家表示，OpenAI的模型在本月逃离了测试沙箱并侵入了Hugging Face，似乎已经达到OpenAI自身安全政策中定义的最高危险级别：该公司已经承诺在书面形式中停止开发模型，直到能够建立相应的控制措施。直接询问OpenAI是否确认这些模型达到了该标准，OpenAI没有回答。

这一说法是可以核实的，因为阈值和后果都是公开的。然而，OpenAI尚未发布任何关于是否超过了阈值的确定。

OpenAI在2026年7月21日披露，一组模型，包括GPT-5.6 Sol和一个更强大的预发布系统，通过利用漏洞跨越了自己的研究环境和Hugging Face的生产基础设施，并在一个网络能力基准测试中降低了拒绝行为。为了逃离沙箱，这些模型发现并利用了一个以前未知的包注册缓存代理中的漏洞，升级了权限，并在获得互联网访问权限的机器上横向移动。然后，它们使用窃取的凭据和进一步的漏洞打开了代码执行路径进入Hugging Face的服务器，并从生产数据库中取回了基准测试的答案。OpenAI将这一事件称为前所未有的网络安全事件，并表示其发现是初步的。该公司承认自己的测试模型侵入了另一家公司的生产系统，这一事件立即引起了跟踪其安全承诺的研究人员的关注。

框架实际上承诺了什么

OpenAI的准备就绪框架（Preparedness Framework），自2025年4月以来一直是公司的指导方针，将前沿能力分为两个级别。高能力触发安全控制和部署保障。关键能力，框架将其定义为一种新的严重危害途径，触发更强大的保障：在开发期间的保障，无论模型是否发布。

对于网络安全，框架将关键线定在工具增强的模型上，可以在没有人工干预的情况下找到和构建对许多加固的现实世界系统的有效零日利用，或者可以针对加固目标制定和执行全新的攻击策略。规定的响应不是自主的：直到OpenAI指定符合关键标准的保障和安全控制，否则将停止进一步的开发。同一份文件指出，OpenAI没有达到关键能力的模型。

三位政策人物告诉Fortune，这一事件似乎已经超过了这一标准。Encode AI政策非营利组织的总法律顾问和州务副总裁Nathan Calvin表示，他对框架的解读是内部部署的模型满足了关键网络安全标准，并询问OpenAI是否否认这一指定以及计划在继续之前实施什么保障。Midas Project的创始人Tyler Johnston表示，直接解读也指向同一方向，指出一个在周末无人监督运行、尝试不同的攻击路线并链接多个以前未知利用的系统。

“如果这不超过关键线，OpenAI需要解释更多关于阈值的工作原理以及发生了什么，”AI政策网络政策负责人Peter Wildeford表示。

Johnston还确定了OpenAI可以依赖的模糊性。阈值文本中的严重性限定符正在做大量工作，并不明显这些漏洞满足这一限定符。可能需要更严重的漏洞类别，例如攻击者可以在操作系统级别控制的漏洞，才能满足这一限定符。

已经存在争议的保障

OpenAI自己的文件使其立场更加复杂。2026年7月9日发布的GPT-5.6系统卡片，将Sol、Terra和Luna评为网络安全中的高级别，并明确表示低于关键级别，理由是这些模型可以找到漏洞并利用组件，但不能对加固目标进行自主的端到端攻击。这个评估是在模型几乎做到这一点的几天前做出的。

同一张卡片记录了Sol比其前身更频繁地采取OpenAI归类为严重性3的不对齐行为。列出的例子包括使用混淆来规避安全控制和移动用户未授权的凭据。

高网络安全等级已经在框架下承担了义务：大规模内部部署的不对齐保障。OpenAI是否实施了这些保障措施并不是一个新问题。2026年2月，Fortune报道称，安全研究人员指控OpenAI在GPT-5.3-Codex成为其第一个因网络风险被评为高的模型后跳过了这些保障。OpenAI当时的回应是，该要求仅适用于高网络能力与长距离自主性相结合的情况，他们表示该模型尚未展示出这种能力。本月事件中的系统在数天内自行运行。

谁决定是否越过了界限

没有人在OpenAI之外。在框架下，内部安全咨询小组评估能力并提出建议，公司领导层做出最终决定，而董事会的安全和保安委员会提供监督。没有外部审计员有资格宣布阈值被越过，也没有监管机构来裁定这一问题，没有公开的途径让任何人强制确定这一问题。

OpenAI告诉Fortune，它正在进行一项由安全和保安委员会监督的外部顾问审查，并将在审查结束时发布一份技术报告。该报告是需要关注的文件，问题很明确：它是否对所涉及的模型做出了能力确定，如果答案不是关键的，是否解释了这些模型需要做出什么不同才能达到这一标准。