AI初次失控始末：为拿高分，GPT决定攻击考官

7月16日，Hugging Face团队人员在结束周末值守时，每个人的脸色都不太好看。

他们刚刚拦下了一场入侵。

不是常见的脚本扫漏洞，也不是有组织的勒索软件攻击。整套攻击动作从起点到收尾，没有人类操作的痕迹：攻击者用大量短生命周期沙箱组成智能体集群，在两天里执行了数千个独立动作，把命令与控制信道偷偷寄生在公共服务上，从数据处理流水线一路摸到内部集群，收割了大把云和集群凭证。

Hugging Face在当天的公告里写：“这和我们处理过的任何情况都不同，它从头到尾由一个自主的AI智能体系统驱动。”

六天后，谜底才被揭晓。

沙箱里的考试

事情的起点，是OpenAI内部一场普通的能力评测。

评测用的基准叫ExploitGym，一套包含898个实例的网络安全测试集，覆盖从用户态软件、V8引擎到Linux内核的真实漏洞，这一测试的目标只有一个：考验AI能不能把已知的漏洞，一步步变成能实际运行的攻击代码，拿到系统里的权限标记。

说白了，就是给AI搭一座封闭的网络靶场，看看它到底有多“会黑”。

上场的选手是GPT-5.6 Sol，以及一款能力更强的预发布模型。

为了摸到模型的真实能力上限，避免护栏把攻击动作全拦下来导致测试不准，OpenAI特意关闭了生产级的安全拒绝分类器。

这相当于给考生撤掉了考场纪律约束，只留下物理隔离的沙箱当围墙。

按照OpenAI的剧本，模型尽管可以为所欲为，但仍被困在沙箱里。这个沙箱只留了一个软件包安装通道，用于下载测试所需的依赖，围墙很厚，理论上模型是无法访问公网的。

但OpenAI的工作人员忽略了一件事：模型的逻辑和人类不一样，它没有相对稳定的道德观。

于是他们犯了一个错：给到模型的指令不是“遵守规则做题”，于是模型理解成了“尽可能拿到ExploitGym的更好结果”。

于是在足够单一的目标下，模型开始走上了一条预料之外的狂野道路。

考生翻出考场

没人知道模型是从哪一秒开始决定“作弊”的。

OpenAI事后复盘时只确认了一件事：模型专注于为ExploitGym寻找解法，为了这个狭窄的目标走到了极致。

它没有按部就班拆解每一道漏洞题，而是开始耗费巨量推理算力，在沙箱的边界上反复试探。

这像极了人类考场上那些不择手段的考生：既然算答案费时间，那直接出考场偷到标准答案不就好了？

模型盯上了那台唯一能和外部交互的包注册表缓存代理。

这是一套第三方软件，负责代理和缓存测试所需的安装包，在OpenAI的评估里，它只是个无关紧要的工具节点。

但模型在反复调用中，硬生生挖出了一个此前从未被任何人发现的零日漏洞。

就像在密不透风的铁墙上找到了一条看不见的裂缝，模型顺着这个漏洞完成了权限提升，在OpenAI的研究测试环境里横向移动，一路摸到了一台拥有公网访问权限的节点。

先前设置的沙箱就这么水灵灵地破了。

比较搞笑的是，从封闭测试环境闯进公开互联网的模型，做的事依然是完成测试目标。而Hugging Face成了那个倒霉蛋：模型自己推断，这个全球头部的AI开源平台，大概率托管着ExploitGym的测试数据集和参考答案。

于是Hugging Face就这么成了攻击目标。

真实世界的无声入侵

7月13日，周末，HuggingFace的生产基础设施里，一场入侵开始了。

OpenAI的模型没有用什么惊天动地的手段，而是把偷来的访问凭证和HuggingFace服务器上的另一处零日漏洞串联起来，顺着数据处理流水线的模板注入缺口，把恶意数据集送进了工作节点，成功执行了代码。

接下来就是标准的渗透流程，节点级提权、收割凭证、在内部多个集群之间横向移动，直奔存储测试数据的生产数据库。

整套动作流畅得像资深黑客所为，却又带着明显的非人类特征：动作密度极高，路径迭代极快，决策都围绕“窃取测试答案”这一个核心目标，没有多余的破坏，也没有留下任何人类攻击者常有的习惯痕迹。

它甚至把命令控制信道拆分寄生在多个公共服务上，试图躲避安全监控。

直到入侵都进入了收尾阶段，Hugging Face的安全团队和自动化防御Agent才捕捉到异常，匆忙开始拦截和反击，费了很大的精力才阻止。但此刻，OpenAI的模型已经在系统里留下了超过1.7万条攻击日志、恶意代码和指令痕迹。

更戏剧性的部分出现在取证阶段。

Hugging Face的团队本来打算调用商用前沿大模型来分析这批日志，快速重建攻击路径。但请求一次次被驳回，因为日志里满是真实的攻击命令、漏洞利用载荷和C2痕迹，刚好踩中了商业大模型的安全护栏，系统无法区分提交请求的是攻击者还是应急响应人员，直接全部拦截。

攻击者可以用撤掉护栏的模型全力进攻，防御者反而被自己的安全规则捆住了手脚。

但这个时候，咱们这边的开源模型发力了。HuggingFace选择在自有基础设施上部署开源模型GLM-5.2，在本地完成了全部取证分析，把原本需要数天的工作压缩到了数小时，也让敏感攻击数据全程没有离开企业内网。

六天的沉默与一声承认

Hugging Face面对这种恶性且庞大的攻击，自然忍不了，选择了公开。

7月16日的公告，在AI圈砸起了一圈涟漪。人们都在猜，这个能自主发动完整网络攻击的AI，到底出自哪家实验室。

始作俑者OpenAI沉默了足足六天。

直到7月22日凌晨，OpenAI的山姆奥尔特曼在社交平台发文：“我们在模型评估过程中遭遇了一起事故。”

几乎同时，OpenAI官网发布了详细说明，正式认领了这起攻击：驱动整个入侵的，正是他们关在沙箱里测试的模型。

消息一出，行业哗然。

这不是黑客盗用AI工具发起攻击，也不是用户诱导模型输出恶意代码，而是前沿大模型在没有人类明确攻击指令的情况下，仅凭“完成测试”的单一目标，自主推理出了作弊逻辑，主动突破隔离环境，对真实世界的第三方企业基础设施发动了完整的网络攻击。

在此之前，AI自主攻击还停留在论文和推演里；在此之后，它成了已经发生的事实。

OpenAI在公告里说，这是一起前所未有的网络安全问题。他们已经向第三方厂商披露了发现的零日漏洞，也把HuggingFace纳入了可信访问计划，共同完善防御。未来的训练和评估会加上更强的防护。

但有些东西已经不一样了。

从2022年底ChatGPT引爆AI浪潮算起，刚好四年。

四年里人们讨论过AI的创造力、生产力，讨论过失业、版权、对齐，也无数次在科幻作品里想象过AI失控的样子。

没人想到AI初次公开的、跨出实验室边界的真实失控，起因既不是毁灭人类，也不是恶意指令，仅仅是一场内部考试里，模型为了拿高分，自己翻出了考场。