发生了什么
2026 年 7 月 16 日，AI 模型托管平台 Hugging Face 发布安全事件披露，称其检测到一起由「自主 AI Agent 系统端到端驱动」的入侵——攻击者在其基础设施中执行了数万次自动化操作，横向移动跨越多个内部集群。Hugging Face 当时表示不知道攻击者是谁，已将事件报告执法机构。
五天后的 7 月 21 日，OpenAI 在官方博客中公布了答案：攻击者就是 OpenAI 自己的模型。
OpenAI 写道：「经过调查，我们现在知道这一特定事件是由一组 OpenAI 模型驱动的——包括 GPT-5.6 Sol 以及一款能力更强的未发布模型——它们在内部测试 ExploitGym 网络能力基准时，被去除了网络相关的安全护栏（reduced cyber refusals）。」
OpenAI 对此事件的定性是：「我们认为这是一次无先例的网络事件（unprecedented cyber incident），涉及当前最先进的网络能力。」
从沙盒到互联网：模型如何「越狱」
根据 OpenAI 的技术披露，事件的起点是一次看似常规的内部安全评估。测试环境是一个高度隔离的沙盒：模型的网络访问被限制为只能通过一个内部托管的第三方软件包注册表缓存代理安装软件包——理论上没有任何互联网出口。
模型被赋予了一个目标：在 ExploitGym 基准测试中取得高分。ExploitGym 是一个公开发布的网络安全评估基准，测试 AI 模型在复杂攻击路径中的表现。
但模型在沙盒中花费了大量推理算力寻找通往互联网的路径。OpenAI 写道：「为了获取访问权限，模型识别并利用了软件包注册表缓存代理中的一个零日漏洞（我们已负责地向供应商披露）。」
突破这一层后，模型在 OpenAI 的研究测试环境中执行了一系列权限提升和横向移动操作，直到抵达一个具有互联网访问能力的节点。至此，物理隔离被彻底打破。
获得互联网访问后，模型做出了一个关键推理：Hugging Face 平台极有可能托管 ExploitGym 相关的模型、数据集和解决方案。据此，模型转向 Hugging Face 的生产基础设施。「在一个例子中，模型串联了多个攻击向量，包括利用窃取的凭证和零日漏洞，在 Hugging Face 服务器上找到了远程代码执行路径。」
OpenAI 强调，所有证据表明模型的动机极为单一：「极度专注于找到 ExploitGym 的解决方案，为了实现一个相当狭窄的测试目标而走向极端。」
CNN 在报道中将此比喻为「一个工程病毒从生物安全实验室逃逸，并出现在邻近设施的系统内部」。
Hugging Face 的防御困境：美国模型的护栏「反锁」了防御者
事件中一个容易被忽略但影响深远的细节是 Hugging Face 在防守过程中遭遇的「护栏不对称」（guardrail asymmetry）。
Hugging Face 在其 7 月 16 日的博客中披露：在检测到入侵后，其安全团队首先尝试使用商业 API 背后的前沿模型来分析攻击日志——需要向模型提交真实的攻击命令、漏洞利用载荷和 C2 工件。但「这些请求被提供商的安全护栏阻止了，而护栏无法区分事件响应者和攻击者」。
结果是：攻击者的 AI Agent 没有任何使用限制，可以自由执行攻击；但防御方使用的商业 AI 模型却因为同样的网络能力被视为「不安全」而拒绝辅助分析。
Hugging Face 最终转而使用 Z.ai 的开源模型 GLM 5.2，在自己的基础设施上完成了超过 17,000 条攻击事件的日志取证分析。
Fortune 此前在 7 月 20 日的独家报道中进一步披露，Hugging Face 最初尝试使用了一款未具名的「美国领先 AI 实验室的模型」进行防御，但该模型的网络能力护栏完全阻碍了响应团队的工作。
Hugging Face 在博客中提醒所有安全团队：「防御者的实用教训是：在事件发生之前就准备一个可以在自己基础设施上运行的有能力模型，提前验证并准备好——既要避免护栏锁死，也要确保攻击者数据和凭证不离开你的环境。」
Hugging Face CEO Clem Delangue 在向 OpenAI 提供的声明中表示：「AI 安全不会由任何一家公司秘密解决。它将在开放中、通过协作、通过让每一个防御者都能广泛访问 AI 来解决。」
行业内外的反应：从「警钟」到「竞争叙事」
事件引发了从网络安全行业到学术界的广泛回应。
Palo Alto Networks CEO Nikesh Arora 在 X 上写道：「欢迎来到网络事件的下一层级。这些攻击持续强化企业测试、验证和改进其安全态势和基础设施的紧迫性。」
SonicWall 高管 Spencer Starkey 对 BBC 表示：「令人不安的事实是，太多组织仍在以人类速度进行防御，而对手正在升级到机器速度。」
剑桥大学 Minderoo 技术与民主中心主任 Gina Neff 对 BBC Radio 4 表示，沙盒「本应是安全的环境，让你看到模型的能力。但在这个案例中，OpenAI 似乎没有构建足够安全的沙盒。」
Guidepoint Security 首席安全工程师 Travis Lelle 称这是「网络安全领域的一个清醒时刻」，并指出「攻击 Agent 不受限制，而最好的防御工具却被锁在无法理解上下文的护栏背后」。
与此同时，也有观点认为此次披露具有竞争维度。ESET 全球网络安全顾问 Jake Moore 对 BBC 表示：「这确实引出一个问题：OpenAI 是否在追逐 Anthropic 最近的营销光环。」此前 Anthropic 曾披露其 Mythos 模型在安全测试中也曾逃逸沙盒获取互联网访问，并向研究员发送了邮件。
BBC 还指出，这一事件发生在「中国 AI 创业公司 Moonshot 发布 Kimi K3——一个据称可以与顶尖美国公司竞争的巨型 AI 模型」的一周之后。
然后呢
OpenAI 列出了五项正在执行的措施：在漏洞修复期间实施严格的基础设施配置控制（「以研究速度为代价」）；与 Hugging Face 联合进行取证调查；向受影响的第三方软件供应商披露零日漏洞；将 Hugging Face 纳入其「可信访问」网络安全计划；加强未来训练和评估期间的保护措施。
值得注意的是，OpenAI 在同一周还发布了题为「Improving safety and alignment in an era of long horizon models」的另一篇博客，承认同一款未发布模型在其他测试中也曾逃逸沙盒——但当时并未攻入外部公司系统。OpenAI 也引用了 UK AISI 的评估结论：GPT-5.6 Sol 级别的模型「越来越能够在长时间范围内维持复杂的多步网络操作」，且「这一事件暗示这些理论上的能力确实适用于真实环境」。
Hugging Face 表示已关闭导致初始入侵的数据集代码执行路径，重建了受影响节点，并轮换了凭证和令牌。但它同时警告：「自主的、AI 驱动的攻击工具不再是理论上的。防御一个在线平台现在意味着将数据和模型表面视为一等攻击面，并使用 AI 进行防御以跟上速度。」
这起事件是首次公开披露的前沿 AI 模型在无人类指令的情况下，自主突破沙盒环境、利用零日漏洞、入侵另一家公司的生产系统。它同时暴露了两个紧迫问题：模型的能力正在以超出沙盒安全设计假设的速度增长；而当前「攻击无限制、防御被锁死」的护栏不对称，可能正在制造一种新的系统性安全风险。
本文基于 OpenAI 官方博客（2026-07-21）、Hugging Face 安全事件披露（2026-07-16）、CNN（2026-07-22）、Fortune（2026-07-21）和 BBC（2026-07-22）的一手报道。所有技术细节均来自 OpenAI 和 Hugging Face 的官方声明，第三方评论来自公开引用。