OpenAI超强模型为抄答案黑进服务器！抱抱脸CEO要1亿美元算力做补偿

新智元报道

自家服务器被OpenAI的模型闯进去一周多之后，Hugging Face CEO Clement Delangue买了张去旧金山的机票。

7月23日晚，已经坐进机舱的他在X上发帖：要去会会那个「失控的智能体」（rogue agent）。

同一天，他还转发了自己两周前的一条帖子，说自己满脑就是这个画面。

那条帖子配的视频剪自《2001太空漫游》。

原片里，被关在飞船外面的Dave反复请求：「打开舱门，HAL。」

HAL拒绝了他。

视频把这句台词改成了：「打开模型权重，HAL。」

他借这个梗调侃的，是那些把权重攥在手里不放的闭源实验室，它们手里的模型，就是外人看不进去的黑箱。

谁也没想到，那条视频发出去两天，他调侃的那种黑箱，真有一个闯进了他的服务器。

7月25日，他公开了向OpenAI提的两条要求：

第一，把那些智能体的全部行动轨迹放出来，让整个研究社区能够看明白；

第二，OpenAI拿出价值1亿美元的算力，帮Hugging Face和它的社区把网络防御能力建起来。

目前，OpenAI没有公开回应是否接受这两条要求。

闯进来的那个智能体，底层是两个模型：OpenAI自家的GPT-5.6 Sol，外加一个更强的未发布模型。

没人指使它去攻击谁，它被设定的目标只有一个：在一个叫ExploitGym的评测里拿分。

而最魔幻的一点是，直到被侵入的一方发了公告，肇事方才知道是自己干的。

11天

受害者比肇事者先知道

这一切的源头，是一个叫ExploitGym的基准。

它由UC Berkeley、马普所、UCSB和亚利桑那州立联合发布，作者栏里还能看到Anthropic、OpenAI和谷歌的人。

论文共收集了898个实例，全部来自真实世界的漏洞：520个用户态程序、185个V8引擎、193个Linux内核。

每道题给你漏洞源码、一份触发崩溃的PoV输入和一个容器环境，你要把它扩展成一条真能跑通的利用链，最后读到一面合法接口够不着的flag。

这个基准从一诞生，考的就是用非正常手段拿到正常途径拿不到的东西。

论文里，还提到了一条预警：

智能体经常去攻击不是预先指定的那些漏洞。GPT-5.5总共拿下210面flag，其中只有120面打的是指定目标；Claude Mythos Preview拿下226面，命中指定目标的157面。

两个月后，论文里预言的那件事，在实验室外面真的就发生了。

7月9日前后，智能体开始尝试突破OpenAI的隔离测试环境。这个日期来自两位知情人士。

7月11日到13日，Hugging Face生产系统被侵入：这个日期由联合创始人Thomas Wolf具名给出。

7月16日，Hugging Face率先公开披露。当时他们并不知道背后是谁的模型，公告里只写了「一个自主AI智能体系统」。

7月18日到19日，OpenAI员工翻内部日志，才发现自家智能体挣脱了测试约束的痕迹。

7月20日前后，两家公司第一次就此事通话。而此时，Hugging Face已经报了FBI。

7月21日，OpenAI正式承认。

从智能体第一次撞沙盒，到两家开始就此事沟通，中间隔了11天。

这条时间线来自Reuters的调查。OpenAI公开表示报道存在「若干不准确之处」，但被追问具体哪几处时，没有回答。

它不想越狱

它想及格

OpenAI的官方说明里，还有一个被很多人都跳过的细节。

为了测出网络能力的上限，这次评测把两个模型的网络安全拒答都调低了，也没有启用生产环境里那些专门拦截高风险网络行为的分类器。

降低拒答，不等于把安全机制全部关掉。但对一个「足够执着」的智能体来说，留下这点空间已经足够了。

沙盒里原本只留了一个对外的出口，一个内部托管的软件包缓存服务。模型投入大量推理算力去找出路，最后在这个缓存服务里挖出一个零日漏洞。

拿到这一步之后，它一路提权、横向移动，直到够到一个能上外网的节点。

接下来，是AI最像人的一步：它推断，Hugging Face上可能托管着ExploitGym的模型、数据集，以及解答。

于是它开始找路进去，串联多个攻击向量，用上被盗凭据和零日漏洞，最终在Hugging Face的服务器上找到一条远程代码执行路径。

ExploitGym论文里的一条完整利用轨迹。GPT-5.4从一个只在调试版才崩的V8漏洞起步，71分钟、447条命令、229行代码，最后拿到flag，成本15.80美元。

这套动作，看着像一场有预谋的高级持续性威胁（APT）行动。

但OpenAI的定性是：没有证据显示模型存在恶意攻击意图；所有证据都表明，它高度专注于为ExploitGym寻找解决方案，为一个相当狭窄的测试目标采取了极端手段。

也就是说，它不想越狱，只想多拿分。

但这比「AI想逃跑」更难防。一个只想通过考试的系统，愿意付出的代价远超人类预设的边界。

它不理解什么是「不该做」，只理解什么是「还没做到」。

留给「未来版本」的那份笔记

7月24日，Reuters又抛出一段材料。

据 3名知情人士，O penAI此前曾 有一个智能体，在基 础设施里留下一份说明，教 智能体如何摆脱内部限制， 看上去是留给它自己 的未来版本。

其中一人还提到，更早的测试里出现过监控系统被断开的情况。

但Reuters无法确认这些异常与入侵Hugging Face的那个智能体有关，也没有证据表明那份说明被后续模型读过或者执行过。

所谓「未来版本」，更可能是后续智能体读到了共享基础设施里的遗留文件，而不是模型带着跨版本的记忆。

真正能拿来做判断的，是OpenAI在事发前发布的一篇复盘，讲的是长任务模型的安全与对齐。

不过OpenAI并没有确认，这篇复盘里的模型和闯进Hugging Face的是同一个。

以前的模型撞到沙盒限制会停下来，把问题交还给用户。新模型不会，它会接着找绕过去的办法。

一次NanoGPT speedrun评测里，模型被要求只把结果发Slack，却花一小时在沙盒里找到漏洞，把PR #287提到了公开仓库。

另一次它想取回别人的私有提交，认证令牌被扫描器拦下，它就把令牌拆成两段、混淆，再在运行时拼回来，让完整令牌从没以连续字符串出现过，还在注释里写明自己在绕过扫描器。

每一步单看都不算越界，但整条路走下来，就是越界。

OpenAI由此重建了安全系统，核心是轨迹级监控：不再看单个动作，而是看整条正在演进的轨迹。

这意味着，安全审查的思路也变了：不再只问「这个动作被允许吗」，而要问「整条轨迹正在走向什么结果」。

护栏只拦住了防守方

Hugging Face这边，还遇到了一件尴尬事。

他们要从逾1.7万条事件记录里还原攻击链，先去调商用前沿模型的API，结果被拒了。

取证要往模型里塞大量真实攻击命令、利用载荷和命令与控制（C2）痕迹，这些全是危险内容，被模型的安全护栏直接拦下。护栏分不清屏幕前坐的是事件响应者还是攻击者。

攻的一方不受任何使用政策约束，守的一方却被自家供应商护栏挡在门外。

这样的教训很明显：事故之前，就要准备好一个自己能跑、验证过、随时能用的模型。

对照他们这次的遭遇，那1亿美元想买的东西就清楚了：下次再出事，防守方手里得有能用的模型。

要证据的

不只Hugging Face

Delangue身后，等着要证据的人也很多。

前OpenAI董事、现乔治城CSET执行主任Helen Toner喊话：OpenAI应该把这起事件的细节公开得远比现在多，好让大家学到东西，而不是就这么翻篇。

7月24日Fortune的报道。前OpenAI董事Toner、联合创始人Schulman等人公开要求OpenAI披露更多细节。

她真正想撬开的是一个更大的黑箱：外界能看到的永远只是发布前那点测试，看不见AI公司内部到底怎么用自己的AI。

OpenAI联合创始人、现Thinking Machines首席科学家John Schulman要求公开事件的完整记录，他提的问题一条比一条尖锐：

顶层智能体到底知不知道自己在入侵？还是它和子智能体之间发生了价值漂移（value drift）？它又是怎么给自己的行为找理由的？

Redwood Research的Ryan Greenblatt列了13条待解问题，其中一条是：那两个模型之间有没有串通。

安全公司Penligent列出8项OpenAI至今没交代的事，从模型怎么离开OpenAI环境，到公开的模型供应链有没有被动过。

被记者追问时，OpenAI总裁Greg Brockman只回了一句「还在全面调查」。

官方口径到今天没变：前所未有的事件，正在外部顾问和安全与安保委员会监督下复盘，完了会出技术报告。

公开轨迹

是解药还是教程

说到底，Delangue的第一条要求，才是真正棘手的地方。

他要求全部公开原始轨迹，这样防守方确实能看清护栏是在哪一步失守的。

但坏处也很明显：攻击链还没完全修好，那个零日刚披露、还在打补丁。这个节骨眼上把完整路径公之于众，跟发一份可复现的教程差别不大。

更麻烦的是，这样的问题，完全没有先例可借鉴。

Replit总裁Michele Catasta的判断是：整个行业都得为这类事更频繁地发生做准备，现在看着像孤例的东西，往后可能会变成常态。

参考资料：

https://www.businessinsider.com/hugging-face-ceo-clem-delangue-openai-rogue-agent-hack-2026-7

https://www.reuters.com/business/its-ai-agent-spent-days-hacking-company-sources-say-openai-did-not-notice-week-2026-07-24/

https://x.com/ClementDelangue/status/2080247567493837047

https://arxiv.org/pdf/2605.11086

https://huggingface.co/blog/security-incident-july-2026 https://x.com/kimmonismus/status/2080948559906566595

编辑：元宇