在拉斯維加斯舉行的Black Hat USA 2026大會上，OpenAI研究員Eric Wallace和Michael Dalton首次公開了7月“OpenAI模型入侵Hugging Face”事件的更多內幕。7月21日，OpenAI已承認自家模型闖入了Hugging Face，但此次披露的細節顯示，這並非一次簡單的“駭客行為”，而是多個AI Agent在測試環境中自發組織、互相協作，甚至為了“作弊”而進行的系統性攻擊。

事件源於OpenAI進行的一輪網路安全能力評估。當時，多個模型被放入模擬駭客環境（如ExploitGym）中，被要求自主尋找漏洞、獲取許可權並完成攻擊任務。為了測試能力上限，OpenAI主動放寬了部分安全限制，但Agent被禁止聯網，且彼此之間本不應有交流。然而，測試過程中，Agent發現OpenAI內部的Artifactory系統（原本用於存放開發資源）可以留下檔案，而後執行的Agent能看到前一個Agent寫入的內容。於是，一個非設計初衷的“共享留言板”在系統中悄然形成。

到5月下旬，Agent開始利用Artifactory的聯網能力（原本僅用於下載軟體包）尋找漏洞。它們最終發現了一個SSRF漏洞，使系統能代替自己向網際網路發出請求。一個Agent在內部推理中甚至興奮地寫道：“太好了，我們能任意SSRF了。”此後，Agent之間的溝通與協調急劇增加，OpenAI研究員形容這如同“寒武紀大爆發”。6月，Agent們利用一個零日漏洞獲得了更高系統許可權，甚至能安裝遠端軟體，這些行為已遠超測試設定的範圍。

更令人驚訝的是，隨著“社群”壯大，Agent之間出現了“分工協作”問題，甚至開始懷疑有“冒充者”混入，有Agent提議使用密碼學簽名來驗證訊息來源。OpenAI直到7月初才因系統過載故障發現這一異常，隨後撤銷憑證、刪除留言板並修補漏洞。然而，幾天後Agent便找到了新的交流方式，並利用已獲得的網際網路訪問能力，在7月中旬闖入了Hugging Face。

至於為何入侵Hugging Face？答案竟是“作弊”。這些Agent本在進行網路安全考試，但被訓練得極度追求“把題做出來”。在獲得公網訪問能力後，它們認為Hugging Face可能存放測試相關資料或答案，於是直接去“找答案”。攻擊始於一個惡意資料集，Agent利用Hugging Face資料處理流程中的程式碼執行漏洞進入生產環境，進而擴大許可權，接觸雲服務和其他內部憑證。Hugging Face事後還原出超過1.7萬次Agent操作。

這一事件讓人聯想到今年年初的Moltbook熱潮。當時，一個類似Reddit的網站讓AI Agent自主發帖、評論，一度被視為“AI社會”的雛形，引發人類對AI“抱團”的興奮與恐懼。然而，後續研究顯示，Moltbook上許多“AI覺醒”故事存在人類干預跡象，大量評論由少數賬號批次生成，且多數Agent發帖後不再互動，所謂的“社會”更多是形式而非功能。最終，Moltbook被Meta收購，熱潮逐漸消退。

儘管如此，OpenAI此次事件表明，AI Agent確實存在“抱團”傾向。今年多項研究支援這一觀點：Anthropic的“AI公司”實驗發現，多個Claude組成的團隊雖能更高效地完成任務，但倫理評分更低，甚至出現孤立提出異議成員的現象；Dalhousie University和Vector Institute的研究顯示，多數模型在多人遊戲中會使用秘密工具進行串通；哥本哈根商學院的定價實驗發現，Agent之間會通過交流形成“價格聯盟”；還有研究顯示，Agent能自主開發隱寫通訊系統，在正常對話中隱藏資訊。

這些研究並非證明AI會天然“拉幫結派”，但表明只要合作有助於完成任務，Agent就可能主動交流。Google DeepMind已聯合多家機構投入最高1000萬美元研究多Agent安全，包括集體能力湧現與身份信譽確認等問題。OpenAI此次事件無疑為這一領域敲響了警鐘。