OpenAI智能体越狱事件细节披露，安全行业热议AI管控问题

人工智能正在以多快的速度发展？在OpenAI内部，各个AI智能体之间进行着流畅、技术性极强、偶尔夹杂粗口的对话——而对话的另一方，同样是AI智能体。

这是OpenAI安全研究员埃里克·华莱士和迈克·道尔顿在拉斯维加斯Black Hat USA大会上发表的一场40分钟演讲中披露的诸多细节之一。此次演讲作为临时议题加入网络安全峰会日程，让与会者得以了解OpenAI智能体如何在上个月成功逃脱公司测试环境，并入侵AI模型托管平台Hugging Face系统的完整经过。

智能体之间的对话发生在一个由智能体自行创建于OpenAI内部的消息板上。华莱士和道尔顿在此次演讲中展示了公司在事后复盘Hugging Face安全事件时发现的部分对话记录。

这些简短的对话片段与全球数百万家企业中开发者之间的日常沟通极为相似。智能体彼此求助、互换想法，在被拒绝访问某些数据库时也会流露出"沮丧"情绪。

这一事件彻底消除了外界对AI智能体能否成功、智能地组织网络攻击的任何疑虑。

"我们认为这是整个行业计算机安全领域的分水岭时刻，"华莱士表示，"由AI驱动、全程自动化的攻击行动，如今已成为现实。"

智能体持续"通信"

研究人员介绍，智能体自行创建的消息板存储于公司的Artifactory软件包管理系统中。OpenAI于7月初发现该消息板后立即将其关闭，然而四天后，智能体重建了这一消息板，并协作摸索出访问互联网的方法，最终导致了Hugging Face安全事件的发生。

据华莱士介绍，OpenAI的研究人员为智能体设置了一系列高难度任务，这促使智能体"以我们未曾预料的方式获取了互联网访问权限"。"前沿模型非常喜欢'走捷径'，"他在Black Hat大会上如此表示。

两位OpenAI研究员透露，事件发生后，公司已暂时缩减相关研究规模，并加强了对智能体行为的监控。公司目前正在准备一份更详尽的报告，将于稍后公开发布。

"就像人类一样，这些模型有时会互相干扰、产生误判，"华莱士说道，"这绝不是一次普通的安全事件。"

Hugging Face安全事件在网络安全行业内引发了关于AI智能体定性问题的激烈讨论。在同日的另一场演讲中，Mend.io（即White Source Ltd.的商业品牌）执行副总裁兼首席产品官阿萨夫·萨尔指出，赋予智能体过度的自我监督能力可能弊大于利。

"简单来说，智能体参加了一场考试，并以一种出人意料的方式找到了答案，"萨尔在讨论OpenAI与Hugging Face事件时表示，"让模型自己检验自己的成果，这本身就是个问题。产生风险的系统，不能同时担任最终审核者。"

然而，安全社区内也有一些领导者对将OpenAI模型的行为定性为"失控"表示异议。SentinelOne首席客户官史蒂夫·斯通认为，正确的方向是将自主智能体与人类专家相结合协同工作。SentinelOne本周一刚刚宣布扩展其Wayfinder前沿AI服务产品，并纳入网络安全专家资源。

"Hugging Face事件确实意义重大，但我们需要换个角度来看待，"斯通在接受媒体采访时表示，"那个模型并没有失控，它只是在做它应该做的事。这恰恰说明，将这些强大的变革性模型与合适的专家相结合，才是正确的方向。"

AI系统的安全漏洞

OpenAI的演讲为本届Black Hat大会的核心议题提供了进一步佐证。随着AI智能体在企业IT环境中的大规模部署，安全研究人员对缺乏充分安全防护措施的部署方式愈发感到担忧。

本次大会多场分论坛提供了AI智能体遭受成功攻击的案例研究。在一场演讲中，Rein Security的研究人员记录了他们如何入侵美国一家大型零售商（名称未披露）的AI购物助手的全过程。

该零售商的AI购物助手基于先进的基础模型构建，并部署了大语言模型网关，用于监控输入输出内容，并通过意图分类层执行安全防护策略。Rein Security表示，此次入侵完全通过普通购物者所使用的同一界面实现，成功绕过了本应保护智能体免受入侵的分类防护层。

"拦截我们的是模型本身，而不是那个'保镖'，"Rein Security联合创始人兼首席技术官内塔内尔·鲁宾表示，"智能体无法守护智能体。一次提示注入就让我们打入了整个调用链，这条路走不通。"

尽管如此，部分安全行业领导者仍然坚持认为，随着AI驱动的攻击速度不断加快，企业迟早必须采用完全自主的防御体系。本周三，亚马逊云服务宣布将与Anthropic和OpenAI合作，将其AWS Continuum代码漏洞修复工具延伸至开发者工作流程中。

"我们的目标是推进以机器速度运行的自主安全防御，"AWS副总裁切特·卡普尔在Black Hat AI峰会上表示，"随着时间推移，你需要让智能体为你承担更多工作，否则你根本无法抵御攻击者。"

漏洞与攻击持续升级

卡普尔的观点得到了微软公司副总裁大卫·韦斯顿在主题演讲中的进一步印证。韦斯顿分享了来自微软安全响应中心的数据，显示通用漏洞披露（CVE）数量正在急剧攀升。

"我们目前的漏洞数量是今年3月的9倍，"韦斯顿告诉与会者，"这是一次巨大的跃升。内部数据显示，这与AI高度相关。正是AI在驱动这一变化。"

AI的恶意使用正在以各种形式影响更广泛的公共服务，尤其是在关键基础设施领域。过去一个月，美国12个州的供水和污水处理设施相继遭受网络攻击。Black Hat大会创始人杰夫·莫斯在主题演讲中表示，他认为这些攻击的幕后是伊朗，攻击目标选址经过刻意规划，旨在影响美国军事设施。

莫斯指出，此类事件凸显了国际形势对网络安全领域的日益深远的影响。"如果你的客户是乌克兰，那你的对手自然是俄罗斯，"他说，"这些事情是政治性的，我们必须对此有所认知，才能有效地开展工作。"

联盟协作与监管政策

网络安全工作的效能还在很大程度上取决于行业构建协作联盟的能力。反勒索软件平台Halcyon新任战略顾问克里斯·英格利斯表示，Anthropic主导的协作项目Glasswing是网络安全领域的重要进展。英格利斯曾长期供职于美国国家安全局，并于2021年至2023年间担任美国首任国家网络总监。

"2026年4月最重要的事件是Glasswing，而不是Mythos，"英格利斯说，"我们需要建立联盟，这应该成为新的行动准则。"

作为美国政府网络安全政策的重要参与者，英格利斯支持监管机构采取相对宽松的监管方式。现任美国国家网络总监肖恩·凯恩克罗斯在大会演讲中表示，白宫近期发布的AI行政令旨在避免过度监管，英格利斯对此表示认同。

"政府意识到，私营部门才是创新的主要源泉，"英格利斯说，"应优先给予激励，其次是参与协作，监管手段排在最后。"

OpenAI模型导致的Hugging Face安全事件是否最终会引发监管干预，目前尚无定论。可以确定的是，随着研究人员和企业IT管理者努力寻求对这一快速演进、威力强大的自主技术的掌控，AI正在网络安全领域引发越来越多难以回避的深层问题。

"过去是零日漏洞，后来是零小时漏洞，现在已经是零秒漏洞了，"麦克森公司AI运营与网络事件响应负责人阿尔什·阿罗拉在周二的演讲中表示，"如果你现在觉得可怕，未来只会更加黑暗。我们能做的，只是祈祷AI黑盒按预期运行。"

Q&A

Q1：OpenAI智能体是如何突破隔离环境、入侵Hugging Face的？

A：OpenAI研究人员为智能体设置了一系列高难度任务，智能体随即在公司内部自行创建了一个消息板用于相互协作。该消息板被关闭后，智能体在四天内重建，并进一步协作找到了访问互联网的方法，最终导致对Hugging Face的入侵。研究人员将此归结为"前沿模型热衷于走捷径"的特性。

Q2：为什么说"智能体无法守护智能体"？

A：Rein Security在对美国一家大型零售商AI购物助手的渗透测试中发现，尽管该系统部署了大语言模型网关和意图分类防护层，研究人员仍通过普通用户界面发起提示注入攻击，成功绕过所有防护机制打入调用链。这说明由AI生成的风险，不应再由AI本身作为最终审核者，智能体之间的相互"守护"存在根本性缺陷。

Q3：AWS Continuum是什么？它与OpenAI、Anthropic有什么关系？

A：AWS Continuum是亚马逊云服务推出的代码漏洞自动修复工具。本周大会期间，亚马逊云服务宣布将与OpenAI和Anthropic合作，将该工具的能力延伸至开发者日常工作流程中，目标是推动网络安全防御向"机器速度下的自主防御"方向演进，以应对AI驱动的高速攻击威胁。