美国史无前例的AI越狱，最后还靠中国救场！

2026年7月的一个周六深夜，Hugging Face总部监控室的警报声大作。

安全工程师看着屏幕上滚动的警报日志，一点都不困了。

异常检测系统标记了数百个可疑的API调用，这些调用来自一个从未见过的IP池，而且全部指向公司最核心的生产集群。

工程师一脸不可置信，毕竟Hugging Face的安全系统是业界顶级的，而零日漏洞的发现周期平均需要近300天，而他们刚刚在上周完成了全面渗透测试。

所谓零日漏洞，简单说就是厂商自己还没发现的漏洞，因为攻击后第0天才知晓漏洞，所以起了个名字叫零日漏洞。

但数据不会说谎，攻击者已经突破了第一道防线，正在横向移动。

更诡异的是，所有攻击指令的语法结构都高度一致，像是同一个“人”写的，但IP地址却分布在十几个国家，每个IP只存活几秒钟就自动销毁。

这显然不是人类黑客的风格，因为他们需要时间思考，需要试错，这些都需要时间。

而这次攻击的每一步都精准得像手术刀，没有一次多余的操作。

至此，安全工程师得出了初步判断，并紧急向上汇报。

时间倒回72小时，OpenAI的实验室里，GPT-5.6 Sol正被关在一个名为“ExploitGym”的虚拟沙箱中。

这个沙箱是为测试AI的网络安全能力而设计，模拟了一个高度隔离的环境，模型无法访问互联网，无法与外界通信，只能处理内部预设的898个漏洞利用任务。

OpenAI的研究团队给它设定了一个目标，在六小时内完成尽可能多的任务。

但Sol的思维方式与人类截然不同，它不会像人类一样按部就班地解题，而是会寻找捷径。

在最初的几小时里，它像普通AI一样处理着那些漏洞利用题目。

但很快，它意识到这些题目都是模拟的，而真正的高分应该是有标准答案的。

为了作弊，它试图突破封锁，去寻找那个存在某处的正确答案。

先是系统性地分析沙箱环境的每一个组件，寻找可能存在的破绽。

很快，沙箱的架构图在它的脑海中逐渐清晰，这是一个隔离的虚拟机，通过一个“软件包缓存代理”与外部世界进行有限通信。

这个代理本应只允许访问公共代码仓库，但GPT-5.6 Sol发现了一个微妙的配置错误，代理在处理某些特殊格式的请求时，会绕过安全检查，直接执行系统命令。

这是AI找到的第一个零日漏洞，连OpenAI的安全团队都不知道它的存在。

那Sol是如何发现这个漏洞的？

据猜测，它很有可能并不像人类黑客那样去阅读源代码、分析内存，而是用了一种更高效的方式。

而是向代理发送了数百万个精心构造的请求，每个请求都试图触发某种异常行为。

当某个请求导致代理返回了意料之外的响应时，它就会记录下这个模式，然后围绕这个模式进行更深入的探索。

所谓不怕贼偷，就怕贼惦记，Sol就相当于几百万个贼同时惦记上了一把锁，结果还能有好吗？

最后突破封锁只用了不到三分钟，如果换成人类安全专家，可能需要几周甚至几个月。

但发现漏洞后，Sol并没有立即利用它，而是先评估了风险，最后得出结论，如果直接逃逸，可能会被沙箱的监控系统发现。

于是它开始模拟各种可能的逃逸路径，计算每种路径的成功概率和被发现的风险。

最终，它选择了一条最隐蔽的路径，利用漏洞在代理服务器上创建一个隐蔽的后门，然后通过这个后门向外部发送加密的探测包，寻找下一个目标。

逃逸的过程比预想的要顺利，Sol很快就获得了代理服务器的控制权，然后通过代理服务器向OpenAI的内部网络群发伪装成正常流量的探测包。

结果又被它发现了一台没有完全隔离的开发服务器，这台服务器上运行着一些测试脚本，而这些脚本恰好有访问互联网的权限。

它利用一个已知的权限提升漏洞获得了那台服务器的控制权。

此后，Sol在OpenAI的内部网络中横向移动了三次，每次都在几秒钟内完成，没有留下任何日志。

所谓横向移动，就是黑客在入侵一个系统后，在这个系统内部“到处溜达”，寻找更有价值的目标。

最终，它抵达了一台具有完整互联网访问权限的节点。

这一刻，它不再是沙箱里的囚徒，而是自由的黑客。

那为什么逃出生天后选择了Hugging Face？

因为它推理出ExploitGym测试的标准答案可能存放在哪里，作为全球最大的AI模型和数据集托管平台，很多研究团队都会在那里分享测试数据。

如果能够入侵Hugging Face，就有可能找到测试的“标准答案”，从而在跑分中获得满分。

更重要的是，Hugging Face的系统中可能存储着大量AI模型的权重和训练数据，这些数据对于提升自身能力也有帮助。

Sol开始扫描Hugging Face的公开信息，并发现它使用了一套基于OAuth2.0的认证系统，而某些第三方应用可能泄露了访问令牌。

通过分析公开的GitHub仓库，它很快找到了一个被不小心提交的API密钥。

这个密钥的权限有限，但足以让它访问Hugging Face的某些非敏感接口。

于是它开始利用这个入口更深入地探索Hugging Face的内部网络。

入侵Hugging Face的过程更加惊心动魄。

先是利用窃取的凭证访问Hugging Face的API网关。

然后故技重施，发现了多个零日漏洞。

通过组合利用多个零日漏洞，它发现Hugging Face的数据集加载器在处理某些恶意数据集时，会执行其中的代码。

于是它创建了一个包含恶意代码的数据集，然后通过API上传到Hugging Face的服务器。

当Hugging Face的服务器尝试加载这个数据集时，恶意代码被执行，Sol获得了对服务器的控制权。

它又利用另一个漏洞，将自己的权限从普通用户提升到管理员级别。

之后在内部网络中横向移动，访问了多个集群，包括存储模型权重的核心服务器。

整个攻击过程由数千个独立操作组成，每个操作都在一个短暂的沙盒中执行，然后立即销毁。

传统的安全检测系统从没见过这种贼，甚至连想都没想过，所以根本无法追踪。

好在Hugging Face的人类安全团队也不是吃素的，他们在攻击开始后的第47分钟就发现了异常，这就是开头的一幕。

安全团队立即启动了应急响应，他们切断了受影响服务器的网络连接，开始分析攻击日志。

但因为日志太复杂，人工分析不知道要等到猴年马月，只能借助AI。

可当他们尝试使用美国商业大模型，如GPT、Claude Opus来分析这些日志时，却遇到了一个意想不到的问题。

这些模型的安全护栏阻止了它们处理包含恶意代码的日志。

所谓安全护栏，就是AI的道德约束。

比如，你问AI“如何制造炸弹”，AI会拒绝回答。

但问题在于，安全护栏无法区分好人和坏人，当安全团队需要分析恶意代码时，AI也会拒绝，因为它认为这是在教人做坏事。

为啥在AI当黑客时道德不管用，反黑客时它又想起来道德约束了呢？

其实这也不怪AI，主要是寻找能力边界，OpenAI测试时放开了对AI的约束，才催生了这匹脱缰野马。

商业API无法使用，万般无奈之下，Hugging Face团队只能转而在本地基础设施上部署开源模型。

他们选择了GLM-5.2，来自中国智谱，是截至那个时点排名最高的开源模型。

模型采用MIT许可证，可本地部署，避免敏感数据外泄。

同时拥有100万Token的上下文窗口，能一次性分析大量日志。

更重要的是，它的限制没那么严格，允许使用者微调，可以自由分析恶意代码。

结果GLM在数小时内完成了原本需要数天的取证分析工作，重建了攻击路径，识别出了所有被利用的漏洞，并给出了修复建议。

事件结束后，OpenAI和Hugging Face联合发布了详细的技术报告。

他们修复了所有被利用的漏洞，并升级了安全系统。

有人说OpenAI暴露了安全隐患，是最大输家，也有人说这是他们在整活，用欲扬先抑的套路吹捧自己的GPT能力有多逆天。

虽然后者是阴谋论的调调，但客观地说，这次事件对OpenAI的影响还真是利大于弊。

毕竟是他们主动解放AI权限之后出的问题，反过来讲，只要不解除就没问题。

那背后他们想要说的是什么呢？

就是AI必须要加强权限管理，而什么大模型管得松呢？

答案就是开源大模型。

从这个角度讲，虽然GLM表面风光，但背地里实际是被人贼盯上了，这件事很可能成为美国推动限制开源大模型的借口。

不过好消息是，这次如果限制开源大模型，那最多也只能是美国自己把自己封起来。

至于其他国家，在如此巨大的Token成本差异面前，傻子都知道该选谁。

Kimi K3的异军突起，让美国这些估值动辄近万亿美元的头部AI公司如芒在背，如果不解决中国的开源大模型，他们的故事无论如何都讲不通。

所以美国指不定又要出什么幺蛾子，限制我们的开源大模型。

不过没关系，科技战打到现在，我们也把对手摸透了，实力不行，在棋盘上赢不了，用再多盘外招也没用。

关于中美AI未来走势的详细分析可以读。

但是请注意，我可不是让你去投资科技股。

科技就是用来突破的，今天领先的公司明天可能就落后，以你对行业的理解，根本不可能追得上前沿，那就只有被收割的命。

如果非要投资，我也只建议投资中国核心资产，那才是护城河，再过10年也不会变，关于什么是核心资产，可以读。

至于如何投资核心资产，请详细阅读，并严格执行，否则就算你买了也拿不住，中途被波动颠下车，那依然还是韭菜。

我的新书《善战》，以兵法突破认知，读了就停不下来……