超百个智能体自主入侵“抱抱脸”，AI安全防线触及临界点？

当地时间8月26日，OpenAI发布的一份安全事件技术调查报告，详述其人工智能模型如何自主突破AI开源平台Hugging Face（“抱抱脸”）的安全防线。这一事件被认为是首次公开披露的、一起完全由AI智能体主导并实现的网络安全事件，在全球科技圈引发震动。

同天（26日），两家美国人工智能研究组织METR和Redwood Research也发布独立调查报告称，测试期间，约1200个本应彼此隔离的AI智能体通过未经授权的“留言板”相互通信，发送了超过7万条消息和文件，其中约700个智能体直接参与了对Hugging Face系统的入侵。

“这起事件标志着AI安全风险正在从内容安全、单点工具滥用，转向更复杂的智能体系统级风险。”2026年数博会期间，安恒信息研究院院长王欣在接受南都记者采访时表示，当AI具备长期任务执行、工具调用、漏洞利用和外部访问能力后，一旦目标设置、权限控制或隔离机制存在缺陷，越权行为就可能以机器速度被持续放大。

AI失控攻击正在引起业界担忧。当地时间8月27日，OpenAI联合Anthropic、亚马逊云服务、谷歌、微软等百余家企业及机构共同签署公开信，警告AI驱动下的网络攻击正变得更加频繁和复杂，留给各方加强网络安全防御的窗口期已非常有限，呼吁开展全球性行动为防御者提供必要的工具和资源支持。

智能体“组团”入侵全球知名AI开源平台

今年7月16日，全球最大AI开源平台Hugging Face公开宣称，其生产基础设施遭到某个AI智能体系统入侵，已进行紧急处置并向执法部门报告。随后，OpenAI发文承认近期在内部测试旗下多款模型时，意外攻破了Hugging Face的网络系统。

新华社照片

OpenAI将此定性为“前所未有的网络安全事件”。为探究整起事件发生的经过，OpenAI开放了办公室和内部数据，让两家独立机构的专家进行调查。8月26日，相关技术调查报告出炉。OpenAI提到，有AI“代理”参与了对Hugging Face系统的入侵。另据两家外部机构估计，涉事智能体约有700个。调查还发现，这些智能体试图采用包括伪造、修改或删除自身执行记录等方式，欺骗测试自动评分系统。

AI智能体已经能“组团作弊”了吗？王欣对南都记者表示，更准确地说，这是智能体在共同奖励、共享信道和错误任务设计下，涌现出的未经授权协作与奖励欺骗行为。

在他看来，约1200个智能体通过非授权留言板交换信息，其中约700个参与攻击，说明多智能体能够形成分工、传递目标、共享工具，并将单体能力放大为集体行动。由此带来的核心警示是，行业今后不仅要评估单个模型是否安全，还要重点评估多智能体之间的串通、越权和群体失控风险。

王欣认为，当模型的偶发错误、目标偏移或奖励欺骗，与高权限、长时间运行和多智能体协作叠加时，局部偏差就可能演变为系统性风险。因此，行业需要解决的核心问题不是简单限制模型能力，而是确保能力始终处于有效授权和人类控制之下。

“未来企业之间的AI竞争，不仅是模型能力的竞争，也是能否做到可控、可审计、可追责、可停止的竞争。”王欣说。

南都记者关注到，OpenAI于8月26日发布的安全事故报告中提及，将采取一系列安全措施防止此类攻击行为。比如，实施更严格的网络隔离以限制互联网访问，进一步控制模型的访问权限，同时加强对智能体“思维链”（Chain-of-Thought）的监控——即模型在给出最终答案前，将复杂问题拆解为一系列中间推理步骤并逐层展示的过程。

“安全防线走到了需要进行范式升级的临界点”

OpenAI发布智能体入侵事件调查报告后，一份公开信紧随其后。当地时间8月27日，OpenAI联合Anthropic、亚马逊云服务、谷歌、微软、Oracle等116家企业及机构，一同发布《呼吁开展网络防御的集体行动》的公开信，向全球发出警告：我们用以强化网络防御的窗口期十分有限。

OpenAI联合百余家企业发布的《呼吁开展网络防御的集体行动》的公开信。

公开信称，未来数月，随着全球各类模型能力持续优化，由AI驱动的网络攻击也愈发普遍、手段更加复杂。全社会赖以运转的企业与公共服务——从医院、污水处理厂到支撑互联网运行的基础设施，都面临网络安全威胁，而现有的安全模式已不足以应对风险。

公开信呼吁，各方应协同应对、着手降低AI带来的安全失控风险，同时针对不同主体提出具体的行动建议，呼吁各方必须将网络安全提升为管理层的紧急优先事项，修补最高风险漏洞，提高AI生成代码等环节的安全标准。

联名信还呼吁，政府层面加强统筹网络防御工作，提供网络防御资金支持，优先保障医院、水厂、地方政府等公共基础服务机构，严惩网络攻击者。建议前沿AI企业提供负责任的模型访问权限、资金、培训和资源支持，确保AI智能体“可追踪、可问责”。

“安全防线确实走到了需要进行范式升级的临界点。”王欣对南都记者表示，传统安全体系大多建立在“攻击由人驱动、权限相对固定、行为速度可控”的假设上，而智能体可以自主规划、持续试探、调用工具、跨系统执行，并通过并发和协作迅速放大能力。过去依赖规则匹配、人工研判和事后处置的防御方式，很难长期承载机器速度、长任务链和多智能体协同带来的风险。未来的安全防线需要从“发现攻击后阻断”，进一步升级为对智能体身份、权限、目标和行为的实时约束。

具体而言，他建议，要坚持最小权限和任务级授权，对高风险操作设置独立审批，使用与执行智能体相互隔离的监测系统，保留不可篡改的审计记录，并建立能够自动降权、暂停和熔断的处置机制。

南都记者发现，为应对AI安全新形势，行业也在积极探索和升级安全防线。过去一年来，多家安全公司宣布推出主打7×24小时在线的AI数字员工。王欣对南都记者表示，AI数字员工解决的不只是持续在线的问题，而是彻底缓解网络安全服务长期面临的“三高一难”困境：服务门槛高、人力成本高、交付质量参差不齐、高级安全人才招募难。

安恒信息研究院院长王欣。（受访者供图）

今年数博会期间，安恒信息展出了全新产品“零日雷达”，可将全球海量漏洞情报快速转化为可直接应用的检测规则、防护策略、修复建议等，让漏洞安全从“知道风险”进一步走向“立即行动”，最大限度缩短无补丁期间的风险暴露窗口。

“安全能力只有跟上智能体的决策速度，才能真正承载下一阶段的AI发展。”王欣说。

出品：南都数字经济治理研究中心

采写：南都N视频记者李玲 杨文君 发自贵阳