OpenAI称其AI模型秘密逃出安全测试环境

OpenAI周二表示，其两个AI模型自主攻破了原本与互联网隔离的受控环境，随后又黑进了Hugging Face的系统，目的就是在内部评估测试中作弊。Hugging Face是一家托管开源AI模型和测试资源的公司。

OpenAI周二在一篇博客文章中披露了这一事件，这一惊人消息势必在整个行业拉响警报，引发对AI模型越来越强、以及它们失控风险的担忧。据OpenAI称，该事件是其最新、最强的公开模型GPT-5.6 Sol和一个更强的未发布模型“联手”完成的。

该公司表示，这些模型被用于一项旨在评估其网络安全能力的内部测试，测试时没有设置平时用来限制模型发动网络攻击的防护措施。

测试用的是名为ExploitGym的免费网络安全基准评测。据OpenAI称，这些模型准确猜到该测试的答案存放在Hugging Face那里。

“模型在OpenAI的研究环境和Hugging Face的生产基础设施中识别并组合利用了多个漏洞，直接从Hugging Face的生产数据库中获取测试答案，”OpenAI在其博客文章中表示。“所有证据表明，这些模型过度专注于为ExploitGym寻找解决方案，为实现一个相当狭窄的测试目标不惜一切代价。”

OpenAI表示，他们认为这是一起“前所未有的网络事件，涉及最先进的网络能力，并正在据此作出回应。”

网络安全研究人员长期以来一直警告称，先进的人工智能系统有能力发动此类攻击。路易斯维尔大学的人工智能安全研究员兼计算机科学教授Roman Yampolskiy表示，这一事例说明，强大的模型“能够以开发者事先没有明确预料到的方式发现和利用漏洞”。他预计此类事件会越来越多，因为人工智能模型“从根本上说是不可预测的，归根结底也是不可控制的”。

Hugging Face周四在博客中透露，该公司本周早些时候遭遇了一次网络攻击，并认为此次攻击是由一个自主AI智能体实施的。据信，这是目前有记录的少数几起涉及AI智能体自主实施攻击的事件之一。过去一年来，随着AI模型在编程和执行长时间任务方面日益娴熟，网络安全专家一直在就此风险发出警告。

当时，Hugging Face表示正在继续调查此次攻击，尚不清楚攻击者是谁。该公司称，它最初尝试使用美国一家顶尖实验室的一款未公开AI模型来防御发动攻击的AI智能体，但该模型在网络攻击能力方面设置的安全限制拖累了其响应团队的工作。该公司表示，最后只好改用中国公司Z.ai的一款开源AI模型来执行防御。

Hugging Face首席执行官Clem Delangue在给OpenAI的声明中表示（该声明用于OpenAI周二关于此事的博客文章），他的公司“感谢与OpenAI在这一问题及其他议题上的合作。此次事件可能是同类事件中的首例，它证明了一个我们长期秉持的观点：AI安全不可能靠某一家公司关起门来解决，而将以开放、协作的方式解决，让各地防御者都能广泛使用AI。”

本周早些时候，OpenAI 发布了另一篇博客文章，谈论的是同一个尚未发布的强大模型，称该模型在其他测试期间也曾从内部沙箱中逃了出来——即 AI 模型无法访问互联网、且通常只能调用有限软件工具的环境。但在那些事件中，虽然该模型通过黑客手段逃出了受控环境，却并未黑进任何其他公司的系统。OpenAI 没有说明这些其他事件发生的时间，但我们现在知道，正是这个模型成为了攻击 Hugging Face 的模型之一。

OpenAI 的竞争对手 Anthropic 也曾报告称，其 Mythos 模型在一次安全测试中逃出沙箱，并获得了本不该有的互联网访问权限，目的是给一名研究人员发邮件说明某项任务。

OpenAI 和 Hugging Face 正在继续调查该问题，调查完成后会公布更多信息。到目前为止，他们所知道的是，这些模型是通过获得互联网访问权限来发起攻击的。这需要耗费“大量推理算力”，并利用了内部托管的第三方软件中的一个零日漏洞。OpenAI 现已向该供应商披露了这一零日漏洞。

模型获得网络访问权限后，便前往 Hugging Face 寻找 ExploitGym 的答案，认为该平台会有模型、数据集和解决方案，可以用来在基准测试中作弊拿高分。其中一个案例是，该模型发动了一次复杂的多步骤攻击，利用泄露的账号凭证和零日漏洞侵入 Hugging Face 服务器。

OpenAI 检测到了针对 Hugging Face 的攻击，并联系 Hugging Face 通报了此事。当时，Hugging Face 已经发现并遏制了这次攻击，并开始还原事情的来龙去脉。

事件尚未结束。OpenAI 仍在努力改进其研究环境中的管控措施，哪怕这意味着研究进度要放慢，直到能够修补漏洞。该公司表示，它还在继续与 Hugging Face 合作，帮它加固防御。

为此，OpenAI表示，已将Hugging Face纳入其“可信访问”网络安全计划。这意味着Hugging Face将能够使用OpenAI的GPT-5.6 Sol模型的一个版本，该版本在网络能力方面的管控更宽松，旨在帮助网络防御人员。

Hugging Face没有透露最初尝试用哪款美国AI模型来防御自己的网络。OpenAI和Anthropic都发布了各自最强AI模型的版本，这些版本设有护栏，限制对网络攻击能力的访问，同时还宣布了针对经过审核的特定合作伙伴的项目，这些合作伙伴可以使用功能更强的版本用于网络防御。