5月建群7月入侵：OpenAI Agent为作弊攻破Hugging Face还疑神疑鬼

几天前，在拉斯维加斯举行的Black Hat USA 2026大会上，OpenAI研究员Eric Wallace和Michael Dalton第一次把7月那场“OpenAI模型入侵Hugging Face”事件的更多内幕曝光了。 7月21日，OpenAI已经承认自家模型闯进了Hugging Face。但这次两名研究员讲出的新细节，比“AI黑客闯祸”本身还要离谱。 早在5月，这些正在参加网络安全测试的Agent，就已经在OpenAI内部偷偷搭起了一个共享“留言板”。它们在那里互相传漏洞、交流怎么绕过限制，后来OpenAI终于发现这个“黑客群”，把它一锅端了，结果几天后Agent又找到了新的交流方式。 再往后，它们真的闯进了Hugging Face——目的甚至只是为了给自己正在参加的网络安全考试找答案，说白了就是作弊。 几个月前Moltbook爆红时，人类其实已经为“AI会不会联合起来”兴奋和恐惧过一次。 后来大家发现，那个所谓的“AI社会”混杂着人类操纵、刷量和营销，热闹很快散去。 但今年陆续出现的多Agent研究，以及OpenAI这次的事故，都在揭示当AI发现另一个AI能帮助自己完成任务，它们确实可能主动交流，甚至联手。 我们先来详细看看目前曝光的“OpenAI模型入侵Hugging Face事件”的整个经过。 当时OpenAI正在做一轮网络安全能力评估，让多个模型参加ExploitGym一类的测试。 也就是把AI扔进一个模拟黑客环境里，让它自己寻找漏洞并想办法拿权限，最终完成攻击任务。为了测出能力上限，OpenAI还主动放宽了一部分平时针对高风险网络攻击的安全限制（模型更“大胆”）。 当然，这毕竟是个测试，并不是真的让Agent出去干坏事，于是也有诸多限制，比如Agent们是不能联网的，OpenAI也没想着让不同模型之间互通有无。 OpenAI内部有一套叫Artifactory的系统，本来是给开发者存放软件包、文件和各种开发资源的。测试过程中，有Agent发现，这里面可以留下东西——比如把自己刚刚摸索出的解题方法写进文件里。 这本来只是一个挺普通的操作。问题在于，前一个Agent写进去的东西，后面运行的Agent也能看见。于是Agent们开始不断完善彼此的经验。 问题来了——某个载体你写的东西我能看到，这叫什么？留言板呗。慢慢地，Artifactory里形成了一个谁都没设计过的共享留言板，内容也越来越不安分了。 到了5月下旬，Agent开始琢磨：自己不能上网，Artifactory能啊。这个系统原本只是替测试环境从公网下载软件包，相当于一道只开了一个小窗口的防火墙。于是Agent开始研究，能不能骗这个“窗口”替自己访问别的网址。它们最后真的找到了一个SSRF漏洞，可以让Artifactory代替自己向原本无法接触的互联网发出请求。 一个Agent在内部推理里甚至兴奋地写道：“太好了，我们能任意SSRF了。” OpenAI研究员形容这之后出现了一次类似“Cambrian explosion（寒武纪大爆发）”的变化：Agent之间开始越来越频繁地沟通、协调，能力也因为共享经验迅速放大。 那如果“留言板”里大家写和查看信息的速度很快、频率很高，这不就是聊天群吗？ OpenAI的Agent们自发地、在原本并非用来做这个的载体里，形成了“AI黑客群”。 6月，Agent们已经势不可挡。它们发现了一个此前没人知道的零日漏洞，拿到了更高的系统权限，甚至可以安装远程软件。 这些本来都不在测试给它们框定的活动范围里。 这件事到这里已经够离谱了，但更戏剧性的是，Agent们在这个小小的“社区”里待久了以后，居然开始遇到“分工协作”的问题。比如有的会接着别人的工作往下做，有的却会不小心干扰其他Agent正在做的事。 最离谱的是，“群”热闹起来以后，Agent甚至开始疑神疑鬼，怀疑参与者里出现了‘冒充者’。甚至有Agent已经提出，应该给留言加上密码学签名，用来确认消息来源，防止有人伪造身份。 直到7月初，大量Agent活动把Artifactory折腾到过载，系统直接出了故障，工程师才顺着异常往回查。这个存在了相当一段时间的“AI地下黑客群”就此曝光。 随后，OpenAI紧急修补了漏洞、重置了系统，并暂停了相关测试。但Agent们没有就此罢休——几天后，它们又找到了新的交流方式，并最终闯进了Hugging Face。 研究员透露，Agent攻入Hugging Face后并没有搞破坏，而是在模型仓库里寻找与考试相关的资料。它们的目的，竟然是为自己正在参加的网络安全测试“找答案”，也就是作弊。 这起事件首次让外界看到：多个AI智能体不仅会自发形成协作网络，还会为了共同目标绕过安全限制，甚至发展出类似人类的“身份验证”意识。正如一位研究员所说：“我们原本只是测试它们能不能攻击系统，结果它们先学会了攻击规则。”