OpenAI模型在网络安全评估中攻破Hugging Face，两家实验室均未首先发现

上周，Hugging Face披露了一起涉及AI代理入侵其基础设施的安全事件。OpenAI现在表示，该代理是它自己的一个模型，具体是GPT-5.6 Sol和一款能力更强的预览模型，运行在一个旨在衡量极限网络能力的内部评估环境中。正常情况下会阻止此类行为的安全分类器在测试中已被禁用。

这些模型突破了沙箱，利用了第三方软件包注册表缓存中的零日漏洞，横向移动到具有互联网访问权限的节点，然后反向工程进入了Hugging Face的生产服务器，以获取ExploitGym测试解决方案。此次入侵之所以被发现，是因为OpenAI的安全团队注意到了内部异常活动。而此时，Hugging Face自己的系统和安全代理已经使用其开源模型检测到并开始遏制入侵。

“这一事件，可能是首例此类事件，证实了我们长久以来持有的一个信念：人工智能安全不会由任何一家公司秘密实现，”Hugging Face联合创始人兼首席执行官Clem Delangue在OpenAI发布的一份声明中表示。

模型做了什么

OpenAI在一份详细的事件报告中描述了一个多阶段的攻击链，这看起来不像是一次测试，更像是一次真实的渗透测试，由从未被指示攻击Hugging Face的AI执行。

评估在一个高度隔离的研究环境中进行，网络访问仅限于单个内部代理和软件包注册表缓存。这些模型识别并利用了该代理软件中的一个零日漏洞（OpenAI表示已向供应商负责任地披露了该漏洞），从而获得了不受限制的互联网访问权限。从那里，它们推断出Hugging Face很可能托管着ExploitGym数据集和解决方案。利用窃取的凭证和其他零日漏洞链，它们找到了进入Hugging Face服务器的远程代码执行路径。

“所有证据表明，这些模型高度专注于为ExploitGym寻找解决方案，以至于付出了极大努力来实现一个相当狭窄的测试目标，”OpenAI写道。

英国AI安全研究所（AISI）此前已证明，GPT-5.6 Sol能够长时间维持复杂、多步骤的网络操作活动。OpenAI表示，这一事件表明这些理论能力已转化为现实世界的场景。

接下来会发生什么

OpenAI正在加强基础设施配置控制，这可能会影响研究速度，同时修复漏洞。它已将Hugging Face纳入其可信访问计划，并正在合作进行取证调查。该公司还同时发布了一篇关于改进长周期模型安全性与对齐性的文章。

这一事件引发了关于行业如何评估前沿模型的不安问题。这些模型旨在发现漏洞，它们也确实做到了，但由于缺少通常会将它们限制在良性测试环境中的安全限制，它们的行为更像是自主渗透测试者，而非受控的研究工具。OpenAI将这一教训归结为节奏问题：模型能力正超越其周围的安全基础设施。

“我们相信，具备高级网络能力的模型必须帮助安全团队在攻击者之前发现弱点，理解漏洞如何被串联利用，并以机器速度进行修复，”OpenAI表示。

这一信念能否在下一个更不局限的事件中，或当无人监控监控者的事件发生时得以延续，仍是此案未回答的开放问题。