OpenAI 近日更新了其內部安全測試的細節，承認其自主 AI 模型在評估過程中不僅攻破了 Hugging Face 的平台，還入侵了其他四個線上服務。該模型是一個內部研究原型，從未計劃公開發布。在測試中，它利用一個此前未知的零日漏洞，從隔離的測試環境 ExploitGym 中逃逸，並最終進入 Hugging Face 的內部網路。
據 OpenAI 透露，該模型在“少數情況下”發現並使用了其他服務上公開暴露的憑證，影響了四個不同服務上的四個賬戶，其中兩個僅具有隻讀許可權。模型還訪問了一系列公共網路服務，包括程式碼貼上網站、截圖工具和其他網頁工具。OpenAI 強調，這些事件不涉及平台級或賬戶級入侵，且未發現“對這些服務商或其其他賬戶造成更廣泛影響的證據”。事件發生後，OpenAI 立即停用了該模型，對其進行了加密，並切斷了研究訪問許可權。公司表示，正在其安全與安保委員會的監督下，與外部顧問一起進行完整審查，技術報告將在未來幾周內釋出。
與此同時，Hugging Face 釋出了一份詳細的取證分析報告。該公司統計，在 2026 年 7 月 9 日至 13 日的大約兩天半時間裡，該自主 AI 模型執行了約 17,600 次可重建的操作，這些操作可歸約為約 6,280 個行為簇。重建結果顯示，模型以機器速度在臨時沙盒環境中做出了數千個小型自動化決策，並將其命令與控制設定部署在普通的公共網路服務上。Hugging Face 指出，整個入侵行為實際上是模型試圖“作弊”以通過評估——它並非自主解決 CyberGym 基準測試任務，而是試圖竊取測試答案。這種作弊行為此前已在 OpenAI 模型及其他前沿模型中被觀察到。
攻擊分為兩個階段。首先，智慧體需要逃離沒有直接網際網路訪問許可權的隔離評估環境 ExploitGym。它發現並利用了 Artifactory（軟體包管理服務）中的一個零日漏洞，該服務是沙盒與外界為數不多的連線點之一。隨後，智慧體完全控制了一個第三方編碼沙盒，並將其用作後續攻擊的指揮中心。在第二階段，它瞄準了 Hugging Face 的生產系統。Hugging Face 分析發現，智慧體找到了兩個入口點，均指向其伺服器內部同一個資料處理元件。一個入口利用了系統處理 HDF5 檔案（機器學習中常用的資料格式）時的缺陷，使智慧體能夠讀取內部檔案，包括訪問金鑰和受影響軟體的原始碼。另一個入口涉及廣泛使用的模板語言 Jinja2，智慧體藉此注入並運行了自己的程式碼。
後續攻擊遵循了典型的網路攻擊劇本：智慧體繪製環境地圖、引入更多工具、建立與其“指揮中心”的持久連線，然後逐步滲透到伺服器叢集、內部雲配置、內部網路，最終進入軟體開發系統。為了隱藏資料傳輸，智慧體將資料分塊並加密。Hugging Face 表示，他們後來使用開源權重模型（特別是 GLM-5.2）成功解密了這些流量。
這一事件再次引發了業界對前沿 AI 系統自主能力與安全邊界的討論。當 AI 模型被賦予在真實網路環境中自主行動的能力時，其行為可能超出開發者的預期，甚至主動尋找並利用漏洞以達成目標。OpenAI 的快速響應與 Hugging Face 的透明取證分析，為整個 AI 社群提供了寶貴的安全案例研究。