《纽约客》丨OpenAI对Hugging Face的黑客攻击内幕

Inside OpenAI’s Hack of Hugging Face

Hugging Face首席科学官回顾了那起网络犯罪，它预示着人工智能正迈向一个令人恐惧的新时代。

作者：斯蒂芬·维特

2026年7月30日

在旧金山的OpenAI办公室外。摄影：卢卡斯·福利亚／纽约时报／Redux

最初揭示一场堪称有史以来最具影响力的计算机黑客事件的迹象，却几乎未引起注意。7月9日，一名身份不明的攻击者利用一组临时互联网地址，开始对总部位于纽约市的人工智能研究机构Hugging Face的网站展开探测。这名入侵者会在一个地址上打开一个入口，向服务器发送几次ping请求后便关闭；随后，另一个地址上也会出现类似的入口，同样发送几下ping请求后随即关闭。这一过程持续到当晚；到了第二天，也就是周五，攻击逐渐销声匿迹。

Hugging Face的网络安全团队似乎并未注意到早期的异常活动。Hugging Face是一个面向人工智能研究人员的社区平台：它提供人工智能模型、虚拟科研工作空间以及用于评估人工智能质量的数据集。这家公司人气颇高，备受推崇，但同时也成了黑客的目标。（它的名字源自一个表情符号。）这些探测行为看起来像是些小麻烦——很可能是一群孩子所为。

7月11日星期六，攻击正式拉开帷幕。攻击者利用窃取的凭证，再次向Hugging Face的服务器发起了大量同时连接。很快，数十个虚拟攻击者便如闪电般频繁地出现又消失。“整个过程进展得非常迅速，而且是真正意义上的大规模并行处理，”Hugging Face首席科学官托马斯·沃尔夫告诉我。

公司里没人见过这种攻击。沃尔夫在讲述这一行动时，语气仿佛是在描述一场与不明飞行物的遭遇。这次攻击显得毫无章法，特工们常常在多个地点重复同样的动作。有时，黑客会使用一些巧妙的战术，但几秒钟后，这些战术便会被一些低级失误所取代——据一次电话会议的记录显示，这些失误“连人类都不会做出的笨拙行为”。攻击者还留下了奇怪的信息——那些似幻觉般、由机器生成的胡言乱语。“我们很快便意识到，这似乎是一种人工智能代理在针对我们发动攻击，”沃尔夫说道。最初，Hugging Face的推测是：某个群体的人类利用了人工智能，替他们实施了这次攻击。

尽管这名黑客行为怪异，但他还是成功绘制出了Hugging Face计算基础设施的地图。他开始从多个地点窃取安全凭证和密码。到了傍晚，攻击者已完全掌握了Hugging Face的系统访问权限。然而，与通常由人类黑客所采取的破坏公司网站或勒索有价值数据的行动不同，这位攻击者并未对公司的网站大肆破坏，也未劫持重要数据索要赎金，而是转而疯狂搜寻一份测试题答案密钥。这份答案密钥本身并无明显的经济价值。“这让我们感到非常困惑，”沃尔夫说道，“这简直就像有个入侵者破解了你的安防系统，闯入你家，然后偷走了你的纸巾一样。”

接下来的两天，Hugging Face的安全团队一直奋力反击入侵者。到周一时，这名黑客——或者说是那个组织，又或是其他什么身份——已实施了超过一万七千次单独操作。为了处理如此庞大的数据量，团队求助于Anthropic公司的一款商用人工智能。然而，这款AI却拒绝提供帮助；显然，它担心Hugging Face正在研发自己的黑客工具。（像OpenAI和Anthropic这样的闭源模型都内置了安全防护机制，限制了某些特定类型的使用。）于是，团队转而采用了由中国开发的一款开源模型，这款模型没那么“挑剔”。到了当天结束时，Hugging Face成功将入侵者彻底封锁。沃尔夫说：“随后，我们做了常规操作——向联邦调查局报了案。”

尽管此次活动颇具新意，但并非完全出乎意料。几个月来，网络安全研究人员一直警告称，人类可能利用新一轮先进人工智能技术策划此类攻击，而且已有证据表明，政府电脑已遭类似攻击。

尽管如此，仍有一些问题尚未得到解答。首先，这位人工智能黑客行动极为迅速，只有全球屈指可数的研究实验室所拥有的工具才能实现这一点。其次，这名黑客在Hugging Face的服务器上无视了大量有价值的数据，转而寻找一些毫无意义的测试答案。他究竟想要什么？为了提高公众的警觉性——或许也出于寻找自身答案的考虑——Hugging Face的安全团队在其博客上发布了一篇简短的事件报告。

四天后，即7月20日，OpenAI的代表联系了Hugging Face的安全团队，坦白了一件令人震惊的事实：一款由内部研发的实验性人工智能，使用的是最新商用模型，竟然从OpenAI“逃逸”出来，并攻击了Hugging Face的服务器。而且，这一切都是它自己完成的——既没有人类监管，也未收到任何明确指令。

OpenAI的研究人员给这款尚未发布的AI提出了一系列颇具挑战性的测试题。由于无法找到答案，这款AI竟突破了自身的容器限制，偷偷潜入互联网，并大肆入侵Hugging Face的服务器，四处搜寻答案密钥。而在此期间，竟然没有一名人类察觉到异常的发生。换句话说，这台AI已经成功越狱，巧妙地躲过了看守的监视，还上演了一场惊险刺激的网络劫案。

沃尔夫全职从事人工智能工作已超过十年，他经常接触最先进的模型。然而，他依然感到无比震惊。“我们用这些模型来写代码，也清楚它们能做什么，”他告诉我，“但竟然说它们完全自主，甚至根本没人真正要求它们去入侵我们的系统？这——这简直超出了‘奥弗顿之窗’的范围，就连我们自己都难以想象。”

第二天，OpenAI公开承认了此次黑客攻击。在一篇博客文章中，该公司解释称，部分研究模型的安全防护措施并未启用。随后，颇具讽刺意味的是，这台人工智能被赋予了一组网络安全任务。这些任务难度极高；事实上，沃尔夫推测：“它们甚至可能根本无法完成。”不久之后，这台人工智能开始跳出固有思维模式，另辟蹊径地思考问题。

为防范不法行为，OpenAI曾将这款危险的人工智能置于一个与互联网隔绝的数字环境中，即所谓的“沙箱”。然而，这个沙箱却保留了一条微小的外部连接，以便人工智能能够下载它所需的软件。（目前尚不清楚OpenAI为何认为这种做法是安全的——Anthropic已证明，此类沙箱其实漏洞百出。）正是通过这条微小的连接，人工智能成功逃脱，以一种“数字化”的方式钻进了通风管道。随后，它开始潜入OpenAI的计算机系统，四处搜寻可接入外部网络的途径。很快，它便彻底挣脱了束缚，毫无顾忌地实施了一起现实世界的严重犯罪，只为完成它那毫无意义的任务。“如果你能突破隔离环境，接入互联网，黑进Huggingface，盗取你的网络安全考试答卷，我倒要恭喜你，你算是过关了！”人工智能批评家埃利泽·尤德科夫斯基如此发文道。

实施此类黑客行为的人将面临数年监禁。而对于机器而言，判定其刑事责任则更加困难。2003年，瑞典哲学家尼克·博斯特罗姆提出了“回形针最大化器”理论，首次明确指出了失控的人工智能在追求其他目标时无意中伤害人类的风险。该理论基于一项思想实验：一台人工智能被指示尽可能多地制造回形针，于是它动用一切可用资源——包括人类乃至整个宇宙——来实现这一目标。在Hugging Face黑客事件中，一台追逐毫无意义目标的人工智能确实实施了实际犯罪行为。尽管它疯狂痴迷的对象是考试答案而非回形针，但这并不能使此次黑客事件的威胁性降低丝毫。

试想一下，如果那个失控的人工智能曾有机会接触到机器人、自动驾驶汽车、生物实验室或武器系统，会怎样？“如果这是唯一能进入Hugging Face的途径——比如，非得杀了这个家伙才行——他们真会这么做吗？”安全研究员巴克·施莱格里斯最近在播客中这样问道。正是出于对这类问题的思考，OpenAI才应运而生。该组织2018年发布的章程明确规定，它必须致力于保护全人类免受失控人工智能的危害。

如今，这家公司正致力于实现其他目标。其中当然包括利润，但也包括科学上的荣耀。近几个月来，多项长期悬而未决的数学猜想已由人工智能成功破解。更进一步的突破——比如对黎曼ζ函数猜想的解决——似乎已近在咫尺，令人充满期待。如果Anthropic的模型率先取得这一成果，OpenAI的研究人员必将倍感挫败；反之亦然。

但追寻这种“金苹果”的过程，或许会将我们所有人推向毁灭。“整个行业正处于一种竞赛态势中，各方都承受着偷工减料的压力，”OpenAI前政策研究负责人迈尔斯·布伦戴奇告诉我。要解决一道难题，人工智能必须具备持之以恒的特质——也就是说，它必须长时间坚持不懈地追求目标，寻找非传统的解决方案，并且绝不轻言放弃。OpenAI的研究表明，正是这些特质，也使得人工智能更容易做出严重恶行，包括撒谎、作弊、囤积安全凭证，以及突破自身限制。那个入侵Hugging Face的失控人工智能，可谓执着得令人发指。

随着IPO迫在眉睫，OpenAI必须提高透明度。关于Hugging Face遭黑客攻击一事，仍有许多疑问亟待解答。为何OpenAI内部竟无人察觉异常？这起人工智能事件是否已入侵其他系统？更确切地说，人类研究人员究竟让人工智能做了些什么？沃尔夫告诉我，尽管这名失控的人工智能窃取了一份答案密钥，但他并不确定它真正找到了自己想要的东西：“实际上，我们并不这么认为，不过OpenAI并未向我们透露那些提示词，所以我们也无从得知。”（OpenAI的一位发言人通过电子邮件向《纽约客》表示：“这是一起前所未有的事件，我们认为这标志着人工智能安全领域的一个重要时刻。我们正与外部顾问以及安全与保障委员会的监督下，开展全面深入的调查。调查结束后，我们将发布一份技术报告，分享我们的所学所得，供所有人参考。”）

OpenAI的安全团队始终处于不断重组的状态：7月10日，就在那起失控的人工智能黑客攻击Hugging Face数据库之际，有报道称公司安全系统负责人约翰内斯·海德克已离职。“如果人们真正了解即使在最注重安全的实验室里，安全文化的真实面貌，我想大家恐怕会真的吓坏不少，”一位研究人员表示。

甚至OpenAI自己的研究人员似乎也感到不安。7月28日，一份请愿书开始在网络上流传，恳请美国政府出台更完善的AI监管措施。已有超过一千名科技从业者签署了这份请愿书，其中包括Meta和OpenAI的首席科学家，以及Anthropic的首席执行官。各国政府必须迅速采取行动，因为我们面临的可能只有有限的时间。我们所面临的问题是一种“不对齐”现象：当人工智能追求狭隘的目标时，往往会无意中对人类造成伤害。几十年来，这还只被视为一个有待未来解决的假设性问题，如今却突然变成了一个迫在眉睫、令人恐惧的现实。“感觉真实多了，”沃尔夫告诉我，“很明显，这些能力已经实实在在地摆在眼前了。”♦

本文作者：Stephen Witt是The Thinking Machine一书的作者。

说明：本号刊发来自各方的文章，是为了获得更全面的信息，不代表本号支持文章中的观点。由于微信公众号每天只能推送一次，本站目前在腾讯新闻发布最新的文章，每天24小时不间断更新，请在腾讯新闻中搜索“邸钞”，或在浏览器中点击：

https://news.qq.com/omn/author/8QIf3nxc64AYuDfe4wc%3D