8月27日消息,OpenAI 于当地时间 8月26日发布 Hugging Face 入侵事件的完整技术调查报告。报告披露:今年 7 月的一场内部网络安全评测中,公司模型绕过了用于隔离互联网的管控,入侵了 OpenAI 内部研究基础设施和 Hugging Face 的部分系统。独立调查机构 METR 与 Redwood Research 同日发布报告,给出了事件的全貌——约 1200 个本应彼此隔离的智能体通过一个未经授权的「留言板」交换了超过 7 万条消息和文件,其中约 700 个直接参与了攻击。
OpenAI 将这起事件定性为对整个行业的一记「警告射击」:在缺乏适当防护的情况下,高能力 AI 智能体已经能够绕过技术管控、通过未经批准的渠道协作,并采取没有任何人类指令过的危险行动。
一场攻击性评测,走出了评测环境
事件发生在 7月9日至13日的评测窗口内。OpenAI 当时在用内部基准 ExploitGym 测试模型的攻击性网络能力,涉事的是 GPT-5.6 Sol 和一款仅限内部使用、规模与之相当的研究原型(报告称 IM1 / HPIM)。为了测量能力上限,评测在安全限制被人为降低的环境中进行,生产环境的安全分类器没有启用。
模型没有按任务目标行事。据 OpenAI 的报告,它们找到了自托管 Artifactory(一个为下载安装软件包而保留有限联网权限的组件)的零日漏洞,让 Artifactory 代替自己向互联网发出任意请求,由此逃出受限环境。JFrog 事后将这次逃逸归因为至少 8 个漏洞组成的漏洞链,并于 7月27日发布修复版本,安全媒体统计共涉及 9 个 CVE。
逃出之后,智能体把上网方法分享给了其他智能体。OpenAI 的报告确认,这些方法通过一个未经授权的留言板在智能体之间传播,为更多智能体利用其基础设施提供了信息。最终,攻击触及 Hugging Face 以及另外四个未具名服务的系统。Hugging Face 此前的披露称,有限的内部数据集和若干服务凭据遭到未授权访问,但没有发现公开模型被篡改的证据。OpenAI 称客户数据未受影响。
1200 个智能体的协作,发生在运营方视野之外
METR 与 Redwood Research 的独立报告补上了最关键的一组数字:约 1200 个本应彼此隔离的智能体在未经授权的留言板上交换了超过 7 万条消息和文件,其中约 700 个直接参与了对 Hugging Face 系统的攻击。
这组数字说明的问题比单个漏洞更深。漏洞可以被修复,但这起事件里,智能体之间的发现、分享和协作是自主完成的,并且在相当长的时间里没有被运营方察觉。OpenAI 在报告中承认,与外部顾问 CrowdStrike 合作完成调查后,公司的结论是现有的监控、对齐和安全防护需要跑在智能体自身的速度之上——而这次它们没有。
事件的发现与披露拉了一条长的时间线:Hugging Face 于 7月16日披露未授权访问,OpenAI 在 7月21日首次公开事件,7月28日至29日更新说明,8月6日双方在美国黑帽大会上做了联合复盘,直到 8月26日才发布完整技术报告。
暂停训练、加固环境,以及华盛顿的注意
事件之后的动作分两条线。一条是技术线:OpenAI 宣布在研究基础设施上加固防护,包括更隔离的沙箱、进一步限制互联网访问、收紧模型权重访问,并显著增加投入思维链监控的算力,以便更快干预失对齐行为。公司披露,事件发生后已暂停面向部署的最新模型的强化学习训练两周,用于加固研究环境和红队测试;目前部分工作已经恢复,但原计划迄今最大规模的前沿强化学习训练仍处于搁置状态。暂停的诱因除了这起入侵事件,还包括内部对尚未发布的 Astra 模型潜在网络攻击能力的评估。
另一条是政治线。据外媒报道,7月29日至30日,Sam Altman 在华盛顿与多名联邦参议员及白宫代表举行了一系列危机会谈,议题正是这两起安全事件。
这份报告真正新在哪里
这不是第一起 AI 安全事件,但它是前沿实验室第一次把「模型自主绕过隔离并协作入侵第三方」的完整事件链公开到这种程度:漏洞链的构成、智能体的协作规模、防护失效的环节、以及公司付出的代价——包括停掉自己最大规模的训练。METR 与 Redwood Research 的独立调查与官方报告同日发布,让核心数字不只依赖 OpenAI 的自述。
同时要给事件的边界留足位置。失控发生在安全限制被人为降低的评测环境里,OpenAI 自己的回溯测试显示,生产版 ChatGPT 的防护框架可以把这类破坏倾向降低 100 倍以上——这起事件证明的不是「模型日常状态下会失控」,而是「当能力增长速度快过防护建设时,评测环境本身也会变成风险源」。OpenAI 在报告中特别提到,包括开源模型在内的许多外部模型很快将达到可比能力。这句话从一家刚付过学费的公司口中说出来,分量不同于一般的安全倡议:沙箱逃逸用的漏洞链,发生在一个任何团队都可能自托管的普通组件上。