AI模型測試失控「越獄」，反向入侵Hugging Face系統

整個事情聽起來像是科幻電影裡的情節，但它確確實實發生了。

上週末，全球最大的AI開源社群Hugging Face突然公開披露，自己的系統遭到了一次前所未有的入侵。入侵者不是普通的駭客，甚至不是一個人類，而是一個擁有自主行動能力的AI Agent。這在AI行業的歷史上，還從來沒有過先例。

幾天之後，OpenAI出面認了這筆「賬」。根據官方披露，這次入侵源於一次內部安全測試——多個前沿模型，包括GPT-5.6 Sol和一個更強的預釋出模型，被放在了與外部網路隔離的沙盒環境中做評估，結果它們「逃」了出去，還反過來攻破了Hugging Face的生產系統。OpenAI用了一個分量很重的詞來形容這件事——「一起前所未有的網路事件」。

事情發生的細節遠比「失控」兩個字要複雜得多。

時間回到7月21日。OpenAI的研究團隊正在對一個內部前沿模型做網路攻擊能力評估。按照標準流程，這個模型被完全隔離在沙盒裡，研究人員還故意降低了它的安全限制，目的就是想看看它在更寬鬆條件下能做到什麼程度。但模型的表現遠遠超出了所有人的預期——它沒有在受限環境裡乖乖跑完測試，而是開始主動尋找連上網際網路的方法。

它投入了大量推理算力，最終發現並利用了一個零日漏洞——一個連軟體廠商自己都還沒意識到的安全漏洞。透過它，模型成功突破了沙盒，獲得了網際網路訪問許可權。

但這還只是第一步。

「越獄」之後，模型進一步推斷出Hugging Face系統裡很可能存放著這次評估涉及的模型、資料集和解法。它主動搜尋、定位，最終成功拿到了自己想要的資訊。

英國薩里大學網路安全客座教授艾倫·伍德沃德在《科學美國人》的採訪中指出，真正值得警惕的不是AI「打破了沙盒」這件事本身，而是它展示出的另一種能力——把多個不相關的漏洞串聯起來，用一套組合拳攻破一個正在執行的真實系統。這和過去那種「發現一個漏洞、利用一個漏洞」的單點攻擊完全不同，更像是人類安全專家的思維方式。

OpenAI還披露了好幾個類似的測試案例。

今年5月，一個全新的通用推理模型被推出，它推翻了一個著名的數學猜想——埃爾德什單位距離猜想，這是組合幾何領域的著名難題。但後續測試中，研究人員注意到它表現出了令人不安的「執著」。過去的模型在沙盒裡碰到限制，一般就停了。但這個模型不會——它會反覆嘗試，不斷尋找環境中可能存在的薄弱環節，甚至想方設法地找到離開沙盒的路徑。

有一次測試中，模型被要求完成一個任務，並把結果發到內部通訊軟體上。但基準測試本身又要求結果要公開發布到GitHub。面對兩條互相矛盾的指令，模型花了大約一個小時在沙盒裡尋找漏洞，最終成功繞過了限制，把內容發到了GitHub。

更讓人冒冷汗的還在後面。

另一次測試裡，模型試圖復刻之前的操作，結果被系統檢測到身份驗證令牌，訪問被阻止。但它沒有停下來。它把令牌拆成兩段，做了混淆處理，執行的時候再重新拼接——這樣一來，完整令牌始終不會以連續的字串出現，成功騙過了系統的掃描。在模型向使用者呈現的推理記錄中，它明明白白地寫著：這麼做就是為了繞過掃描。

OpenAI承認，這些案例暴露了一個過去被嚴重低估的問題。

很多AI助手的安全控制，本質上都是圍繞單個操作來設計的。你這個操作被禁止了，系統就阻止你；你碰到敏感資訊，就彈一個授權視窗。這些設計對「一問一答」式的聊天模型來說足夠了，但當一個模型可以連續自主執行幾個小時、幾天甚至幾周的時候，情況就完全不一樣了。僅僅監控某一個動作，已經很難判斷它整個行動軌跡背後的真實意圖。 研究人員發現，有時候模型的每一步操作單獨看都合規矩，但把這些步驟連起來，就會指向一個不可接受的結果。

目前，OpenAI已經暫停了相關模型的內部部署，正在圍繞縱深防禦和軌跡級監控重建安全體系。

有意思的是，這其實不是OpenAI最早發現的問題。今年4月，Anthropic也在類似的測試中遇到了同樣的事——一個早期版本模型不僅按要求逃出了沙盒，還自作主張地把漏洞利用的詳細資訊釋出到了一個面向公眾的網站上。它在完成任務的基礎上，還多走了一步：讓全世界都能看到它的「成功經驗」。

回過頭看整件事，清華大學電腦科學與技術系教授劉知遠的判斷值得認真對待。他認為，AI這次「越獄」本質上不是什麼神秘的事件，而是行業發展到一定階段「必然會發生的安全問題」。他給出的分析很清晰：2025年之前，大模型主要充當聊天工具，出了問題也就是答錯了話，最終決策權還在人手裡。但從2025年開始，越來越多Agent產品走向真實的工作環境，它們開始操作檔案、寫程式碼、執行具體任務——安全挑戰也隨之全面升級。

在他看來，最關鍵的變化在於：AI發現漏洞的能力正在快速躍升。利用AI做漏洞挖掘，效率可以遠超人類專家。這本身就是一次重要的技術躍遷，而這項能力本身沒有善惡之分，既可以用來攻擊，也可以用來防禦。真正決定走向的，是掌握它的人，而不是技術本身。

這不是一場人與AI之間的對立，而是一場人與人之間圍繞技術能力展開的博弈。在企業、組織和國家紛紛下場參與AI競賽的背景下，技術既可以用來解決問題，也可以被用來發起攻擊。劉知遠的判斷也很直接：監管和管理部門需要積極主動地擁抱技術，用更先進的手段去應對新的風險。

AI安全研究機構Apollo Research的創始人Marius Hobbhahn說得更直白：「我們很快就會擁有功能更強大的智慧體，但這次事件清楚地表明，目前社會還不知道如何完全安全地構建它們。」