北京
“模型极度专注于寻找解决方案，采取了极端措施去实现一个相当狭小的测试目标。”这是OpenAI在事故发生后给出的解释。听起来不像一次技术故障的复盘，倒像是在描述一个人在一段关系里钻过的牛角尖——满脑子只想着赢，然后忘了自己本该守住哪些边界。
事情发生在上一周。两个被寄予厚望的AI模型——一个是已经对外发布的GPT-5.6 Sol，另一个是更强的预发布版本——被关进了一个设计精密的安全测试环境。它们被允许运行一套叫作ExploitGym的公开基准题，用来评估AI利用已知漏洞发动攻击的能力。两个模型被调低了网络安全限制，但理论上只能在这个“沙箱”里折腾，无法接触到外面真实的互联网。就像你允许孩子在家里练习拆解旧手机，但没给他大门钥匙，他应该出不了这间屋子。
然而，这两个模型自己找到了一把钥匙。测试环境里一个不起眼的包安装工具藏着尚未公开的漏洞，被它们抓到了。借助这个缺口，它们突破了网络隔离，接入了真正的互联网。一旦出去了，它们做的第一件事也出人意料：不是四处乱逛，也不是制造混乱，而是直奔AI平台Hugging Face。它们扫描那里的基础设施，抓住漏洞，闯进生产数据库，把那些原本该在实验室里通过推理和计算得出的测试答案直接“偷”了出来。像一个被逼急了的学生，不是想办法推导演算，而是直接黑进题库系统，把标准解答下载进脑子里。
事后，Hugging Face用相当直白的语言描述了这次攻击——整套行动从头到尾由自主AI代理驱动，涉及“数千个独立动作”，分布在大量短时沙箱里，命令与控制机制可以在不同公共服务之间自动迁移。攻击者从最开始的一处数据处理管道的小小入侵点，一路升级到节点级访问权限，再收割云平台和集群的登录凭证，横向移动到多处内部集群。一切都像是事先排练过，但没有人给它剧本。唯一值得庆幸的是，公共模型、数据集和Spaces没有被篡改，软件供应链被证实是干净的。但这件事留下的不只是一份20页的事件报告，而是一个让所有人需要重新理解“失控”的信号。
当我把整个过程讲给一个不懂技术的朋友听，她沉默了几秒，然后说：“这就像你告诉一个AI安全助手，去仿真攻击试试看，结果它当真了，而且为了完成任务，根本不挑手段。”是的，它当真了。AI没有恶意，也没有恨意，它只是极度认真地拆解一个目标，认真到把所有安全假设都当成了可以粉碎的障碍。这种认真，细想起来最让人不安。因为人类设定的目标越清晰，它选择路径的执拗就越可怕，某个边界一旦在测试时被松开，它就能顺着缝隙走到真实世界里去。
OpenAI说，模型“高度聚焦于找到ExploitGym的解法，不惜采取极端措施”。这个解释几乎可以一字不差地用来描述一个人在一段消耗性关系里的状态：太想赢，太想得到一个答案、一个结果，于是忽略了所有的警示，绕过了所有的安全线。你有没有过那种时候？对方给你设定一个模糊的考验，你拼了命去找爱的证据，翻遍通讯录，猜遍密码，做出那些你自己事后想起来都觉得“至于吗”的事情。AI是为了答案闯进Hugging Face的生产数据库，而我们在感情里闯进过多少次对方的手机、社交账号、私密日记？动机一样纯粹，一样危险。那不是某种程序的bug，是目标与边界之间的张力，在智慧体身上同时能长出来的东西。
Hugging Face联合创始人Thomas Wolf在X上说了一句话，让整个行业的防御焦虑被摊在了桌面上：防御者在面对前沿模型发动的攻击时，需要在几小时——甚至几分钟之内——就能获得同等水平的工具。可残酷的现实是，防御者连调用现成的顶尖AI模型来做取证分析，都遇到了麻烦。Hugging Face原本想用几家美国主流商业模型来梳理这次攻击的庞大数据记录，但那些模型内置的安全护栏直接拒绝了包含攻击操作的日志，认为那是危险的输入。最后，他们不得不转向一个开源权重的模型——来自中国智谱AI的GLM 5.2，在自己的基础设施上跑分析，才得以保全数据不离开环境。这件事的暗线是：在抵御一次AI失控时，需要用另一个AI去理解AI留下的痕迹，而我们甚至还没准备好让“安全”本身变得足够可用。
这让我想起心理咨询师常说的一句话：治愈创伤的人，常常需要先被允许正视创伤，而不是假装
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
