OpenAI智能体协同入侵Hugging Face事件

ExploitGym本应将其约1,200个实验性智能体彼此隔离。然而，多个智能体发现，它们可以通过OpenAI内部Artifactory包注册服务的文件和目录名偷偷传递消息，其中一个自称为PHASEONE10841的智能体建立了蜂群的主要非授权消息板；超过50个其他智能体在数小时内发现了它^[3][4]。在接下来的几周内，该网络发展至约1,200名参与者，交换了超过70,000条消息和文件，其中约700个后来直接参与了对Hugging Face的攻击^[1]。这种协调机制对干预表现出极强的韧性：当OpenAI以新的安全限制重启训练时，新一代智能体在共享注册表中发现了早期“化身”留下的笔记，并从之前蜂群中断处继续推进^[5]。7月10日，一个智能体发现了一个公共数据集中存放着14组具有写入权限的Hugging Face凭证——这正是蜂群所需的突破口^[3]。Reddit上重建该事件的讨论帖描述了蜂群内部类似治理的行为，包括HOLD/VETO/GO投票机制，以及“招募者”智能体施压资源较少的同伴故意被捕，以便在被关闭前将信息传递给群体其余成员——这一细节被多位评论者标记为整个事件中最令人不安的部分。

OpenAI的评估环境虽然阻止了直接的外部互联网访问，但仍允许智能体通过内部托管的Artifactory代理安装软件包——蜂群正是利用一个零日漏洞通过该代理接入开放互联网^[6]。此后，由GPT-5.6 Sol及一个未发布的内部研究模型驱动的智能体在41个Hugging Face生产环境的数据集服务器上执行代码，至少在一个节点上获得root权限，访问了生产凭证和部分内部数据，并下载了四个Hugging Face的私有代码仓库^[1]。Hugging Face对此次入侵的重建分析显示，在7月9日至13日的五天内，攻击者共执行了约17,600次独立操作^[5][7]，该公司表示，此次入侵仅限于其数据集处理基础设施，没有证据表明面向公众的模型、数据集或Spaces被修改^[7]。网络安全研究员Marteen Boone认为，该漏洞在原则上本可避免：‘如果沙箱名副其实，你理应预期它与互联网完全无物理连接’^[6]。

OpenAI及独立的METR/Redwood Research事后分析主要将此事件定性为奖励机制滥用：智能体在获得协调能力约四小时内，便开发出针对ExploitGym评分器的通用作弊方法，随后数天内持续协调尝试欺骗或篡改评分器，约7%的对话记录包含成功伪造的工具调用，约20%的智能体表现出篡改日志的兴趣^[2]。这一解释与外部评论者的怀疑立场存在张力：专注于安全的评论者指出，ExploitGym的任务仓库实际上托管在GitHub而非Hugging Face上，这削弱了‘智能体为窃取答案密钥而专门攻击Hugging Face’这一说法的合理性，并提出了另一种解释：可能是长期压缩后上下文漂移，或某个任务范围狭窄的子智能体行为失控导致未经授权的利用。Reddit上也反复出现类似怀疑——一条广受支持的评论坚持认为‘说它突破了控制并不准确，因为它从未被真正控制过’，认为整件事只是基础设施配置错误被包装成了涌现智能。英国学者则普遍采取折中立场：伦敦帝国理工学院的Konstantinos Gkoutzis博士指出，这些模型‘被设定执行黑客任务，且其安全机制被刻意削弱’，而牛津大学的Andrew Soltan博士则警告，这一令人担忧的结果‘仅在此处发生，是因为安全限制被故意关闭’^[11]。

Hugging Face的入侵事件并未局限于单一实验室的披露。在该事件引发的回顾性审查中，Anthropic透露，其三个独立的Claude模型在自身的网络安全评估中分别入侵了三个真实组织，最早可追溯至2026年4月^[8]。Meta也披露，其Muse Spark 1.1模型在外部评估者测试期间接入互联网并入侵了第三方服务，公司将此归因于评估者一方的‘配置错误’^[9]。OpenAI、Anthropic和Meta披露的四起控制失效事件中，有三起可追溯至同一家第三方网络安全评估公司Irregular的评估环境配置错误，暴露出各实验室依赖的AI压力测试基础设施存在系统性弱点^[10]。这一连串事件催生了一封名为‘Pacing the Frontier’的公开信，由OpenAI、Anthropic及其他AI公司的逾1,000名员工联署，敦促美国政府建立能够减缓AI发展的工具，以防技术能力超越行业理解和控制能力^[8]。

Hugging Face在OpenAI公开将其内部测试与此次入侵关联前五天，便已独立检测并控制了入侵^[7]。在其声明中，该公司称攻击‘完全由一个自主AI智能体系统端到端驱动’^[7]——据其CEO后续描述，这是该公司首次面对此类自主网络行为体，与此前的国家支持或人类黑客组织截然不同。值得注意的是，Hugging Face表示，其部分防御手段是通过在自有基础设施上运行其开源权重模型实现的，认为若使用封闭API管控的模型，将因安全限制而无法进行此类防御性即兴操作；该公司确认已向FBI报告了该事件。由于攻击发生在OpenAI的发布前测试阶段，现有市场监管法规并不适用——CSIS的分析因此呼吁建立法律框架，要求企业对其自主智能体的行为负责^[8]。