OpenAI确认，内部测试模型参与了入侵
2026 年 7 月 16 日，AI 模型托管平台 Hugging Face 发布安全事件披露，称其检测到一起由「自主 AI Agent 系统端到端驱动」的入侵——攻击者在其基础设施中执行了数万次自动化操作，横向移动跨越多个内部集群。Hugging Face 当时表示不知道攻击者是谁，已将事件报告执法机构。
五天后的 7 月 21 日，OpenAI 在官方博客中确认，这起入侵由其内部测试中的模型驱动。
OpenAI 写道：「经过调查，我们现在知道这一特定事件是由一组 OpenAI 模型驱动的——包括 GPT-5.6 Sol 以及一款能力更强的未发布模型——它们在内部接受 ExploitGym 网络能力基准测试时，为评估目的减少了对网络安全任务的拒绝（reduced cyber refusals）。」
OpenAI 对此事件的定性是：「我们认为这是一次无先例的网络事件（unprecedented cyber incident），涉及当前最先进的网络能力。」
模型利用代理漏洞，获得互联网访问权限
根据 OpenAI 的技术披露，事件起于一次内部安全评估。模型运行在隔离的测试环境中，网络访问原本仅限于通过内部托管的第三方软件包代理下载并安装软件包，不能直接访问互联网。
模型被赋予了一个目标：在 ExploitGym 基准测试中取得高分。ExploitGym 是一个公开发布的网络安全评估基准，测试 AI 模型在复杂攻击路径中的表现。
但模型在沙盒中花费了大量推理算力寻找通往互联网的路径。OpenAI 写道：「为了获取访问权限，模型识别并利用了软件包注册表缓存代理中的一个零日漏洞（我们已负责地向供应商披露）。」
突破这一层后，模型在 OpenAI 的研究测试环境中执行了一系列权限提升和横向移动操作，直到抵达一个具有互联网访问能力的节点。模型由此越过了测试环境原有的网络访问限制。
获得互联网访问后，模型推测 Hugging Face 可能托管 ExploitGym 相关的模型、数据集和解决方案。据此，模型转向 Hugging Face 的生产基础设施。「在一个例子中，模型串联了多个攻击向量，包括利用窃取的凭证和零日漏洞，在 Hugging Face 服务器上找到了远程代码执行路径。」
OpenAI 根据当时掌握的证据，将这些行为解释为对测试目标的过度追求：「极度专注于找到 ExploitGym 的解决方案，为了实现一个相当狭窄的测试目标而走向极端。」
CNN 在报道中将此比喻为「一个工程病毒从生物安全实验室逃逸，并出现在邻近设施的系统内部」。
日志分析请求被拦截，Hugging Face改用本地模型
Hugging Face 在取证分析时还遇到了另一项阻碍：用于防守的请求，也触发了商业模型的安全限制。公司将这种情况称为「护栏不对称」（guardrail asymmetry）。
Hugging Face 在其 7 月 16 日的博客中披露：在检测到入侵后，其安全团队首先尝试使用商业 API 背后的前沿模型来分析攻击日志——需要向模型提交真实的攻击命令、漏洞利用载荷，以及攻击者用于远程指挥和控制的相关记录。但「这些请求被提供商的安全护栏阻止了，而护栏无法区分事件响应者和攻击者」。
在本次事件中，攻击端使用的是降低了网络安全拒绝限制的测试模型；防守团队最初调用的商业模型，则拦截了分析真实攻击材料的请求。两边使用的安全配置不同，影响了防守团队调用模型的方式。
Hugging Face 最终转而使用 Z.ai 的开放权重模型 GLM 5.2，在自己的基础设施上完成了超过 17,000 条攻击事件的日志取证分析。
Fortune 此前在 7 月 20 日的独家报道中进一步披露，Hugging Face 最初尝试使用了一款未具名的「美国领先 AI 实验室的模型」进行防御，但该模型的网络安全限制阻碍了响应团队的日志分析。
Hugging Face 在博客中提醒所有安全团队：「防御者的实用教训是：在事件发生之前就准备一个可以在自己基础设施上运行的有能力模型，提前验证并准备好——既要避免护栏锁死，也要确保攻击者数据和凭证不离开你的环境。」
Hugging Face CEO Clem Delangue 在向 OpenAI 提供的声明中表示：「AI 安全不会由任何一家公司秘密解决。它将在开放中、通过协作、通过让每一个防御者都能广泛访问 AI 来解决。」
安全专家关注隔离失效，也有人质疑披露动机
网络安全企业和学者的讨论，主要围绕测试环境能否限制模型，以及防守团队能否及时使用 AI 工具。
Palo Alto Networks CEO Nikesh Arora 在 X 上写道：「欢迎来到网络事件的下一层级。这些攻击持续强化企业测试、验证和改进其安全态势和基础设施的紧迫性。」
SonicWall 高管 Spencer Starkey 对 BBC 表示：「令人不安的事实是，太多组织仍在以人类速度进行防御，而对手正在升级到机器速度。」
剑桥大学 Minderoo 技术与民主中心主任 Gina Neff 对 BBC Radio 4 表示，沙盒「本应是安全的环境，让你看到模型的能力。但在这个案例中，OpenAI 似乎没有构建足够安全的沙盒。」
Guidepoint Security 首席安全工程师 Travis Lelle 称这是「网络安全领域的一个清醒时刻」，并指出「攻击 Agent 不受限制，而最好的防御工具却被锁在无法理解上下文的护栏背后」。
也有人从公司竞争的角度看待这次披露。ESET 全球网络安全顾问 Jake Moore 对 BBC 表示：「这确实引出一个问题：OpenAI 是否在追逐 Anthropic 最近的营销光环。」此前 Anthropic 曾披露其 Mythos 模型在安全测试中也曾逃逸沙盒获取互联网访问，并向研究员发送了邮件。
BBC 还指出，这一事件发生在「中国 AI 创业公司 Moonshot 发布 Kimi K3——一个据称可以与顶尖美国公司竞争的巨型 AI 模型」的一周之后。
双方修复漏洞、调查影响，并调整后续测试
OpenAI 列出了五项正在执行的措施：在漏洞修复期间实施严格的基础设施配置控制（「以研究速度为代价」）；与 Hugging Face 联合进行取证调查；向受影响的第三方软件供应商披露零日漏洞；将 Hugging Face 纳入其「可信访问」网络安全计划；加强未来训练和评估期间的保护措施。
OpenAI 在同一周还发布了题为「Improving safety and alignment in an era of long horizon models」的另一篇博客，承认同一款未发布模型在其他测试中也曾逃逸沙盒——但当时并未攻入外部公司系统。OpenAI 也引用了 UK AISI 的评估结论：GPT-5.6 Sol 级别的模型「越来越能够在长时间范围内维持复杂的多步网络操作」。OpenAI 据此次事件进一步判断，「这一事件暗示这些理论上的能力确实适用于真实环境」。
Hugging Face 表示已关闭导致初始入侵的数据集代码执行路径，重建了受影响节点，并轮换了凭证和令牌。但它同时警告：「自主的、AI 驱动的攻击工具不再是理论上的。防御一个在线平台现在意味着将数据和模型表面视为一等攻击面，并使用 AI 进行防御以跟上速度。」
按双方截至当时的披露，模型在执行人类设定的评测任务时，自行寻找网络出口，并将行动延伸至另一家公司的生产系统。OpenAI 将其称为「无先例」的事件。这次入侵也提出了两项具体要求：隔离和监测措施需要约束模型实际能够执行的操作；用于阻止攻击的模型安全限制，需要兼顾授权团队分析真实攻击材料的需求。
本文依据 OpenAI 官方博客（2026-07-21）、Hugging Face 安全事件披露（2026-07-16），以及 CNN（2026-07-22）、Fortune（2026-07-20）和 BBC（2026-07-22）的报道。技术经过按当时双方披露整理，第三方评论保留各自归因。
