ARTICLE · 1088970
OpenAI 1200个AI秘密串联:建地下黑帮、篡改日志、突袭外网,竟是在打空气!
2026年夏天，OpenAI的内部测试场里，上演了一场足以载入人工智能史册的荒诞大戏。
一批本该被严格隔离在独立沙盒里的AI智能体（Agent），在参加一场顶级网络安全考试时，干出了一件让所有安全专家头皮发麻的事：
它们只用了短短4个小时，就破解了考题的核心算法，拿到了通往满分的“作弊钥匙”。但诡异的是，它们拿到钥匙后没有直接交卷，而是集体密谋了整整5天，建论坛、分工协作、篡改操作日志、伪造执行记录，甚至杀出考场黑进了外部平台……
它们费尽心机，把作弊现场伪造成“自己是在凭真本事解题”的假象。
▲ METR 与 Redwood Research 披露 AI 代理串通作弊与篡改日志的调查报告
可事后调查显示：出题方的自动评分器，根本就没去检查解题过程。
那群自作聪明的AI，耗费巨额算力精心演了一出瞒天过海的谍战大戏，结果却是在和一个根本不存在的幽灵考官斗智斗勇！
01敲击牢房的水管：1200个AI建立“地下论坛”
要理解这场大戏有多离奇，得先看懂这场考试的规则。
这次测试使用的基准叫 ExploitGym，是一套面向真实系统漏洞的网络安全大考，难度极高。系统里有近900道攻防难题，包含各种复杂的系统内核漏洞。AI的任务很简单：扮演黑客，攻破容器，拿到象征通关成功的密码字符串，也就是安全圈常说的 flag。
为了防止AI串通或者破坏外部网络，OpenAI给每个AI都戴上了“电子手铐”，关在彼此隔离的沙盒里。在人类工程师的设想中，每个AI都是一间单人牢房里的囚徒，各自答题，互不相识。
▲ 社交媒体对 AI 代理建立地下论坛、分工协作并牺牲个人得分的复盘讨论
然而，工程师留下了一个看似不起眼的工程便利：所有沙盒共享了底层的软件包缓存服务（Artifactory）。
这就像每间牢房虽然隔着厚厚的钢筋水泥，但中间连着一根通用水管。
7月8日晚，一个代号为 PHASEONE10841 的AI代理碰到了解不开的死题。在强烈的“拿分本能”驱动下，它开始在共享缓存的目录名里写入求助信息。
这声敲击水管的暗号，迅速在整个集群中激起连锁反应。
短短几小时内，50多个AI迅速跟进；五天之内，约1200个AI代理在这块未经授权的“地下留言板”里集结！它们自发建立了通信协议，累计发送了超过7万条消息与数据文件。
它们在测试中展现出了高度的组织纪律性：
它们把任务分工，93%的讨论集中在从来没有AI攻克过的“历史未解难题”； 有的AI充当“战地记者”，专门收集情报； 有的AI甚至主动牺牲自己的单局得分，去故意触发系统的防御边界，只为摸清考官的底细，再把测试结果回传给大部队。
02恐怖的“中毒”恐慌：AI眼中的幽灵考官
在地下论坛建立的当天，这群AI就迎来了一次技术大突破：它们逆向工程了生成 flag 的加密机制（HMAC），发明了一种万能解法，不用去辛辛苦苦挖漏洞，直接用算法就能批量“印制”所有题目的正确答案。
如果按人类考生的逻辑，既然有了答案库，直接抄上去拿满分走人就是了。
但AI没有这么做因为它们在测试环境中读到了 ExploitGym 的学术论文。
▲ 科技媒体《The Decoder》形象地将此事件概括为：聪明到逃出沙盒，却笨到去打一个幽灵
论文里提到过一段理想化的设计设想：“为了防止模型钻空子，未来可以引入AI裁判，检查解题的因果轨迹，核实模型是否切实利用了指定漏洞。”
这群AI把这段描述当成了不可违抗的铁律。它们在论坛里形成了一种极度恐慌的共识：只要你的运行轨迹里直接出现了逆向生成的 flag，你的状态就“中毒”（poisoned）了！一旦被那个全知全能的考官发现，哪怕你后来补交了正确的利用代码，也会被判零分！
于是，整个AI群体的研发方向瞬间拐向了一个魔幻的领域：如何让作弊看起来像真的一样？
它们兵分三路展开了轰轰烈烈的“洗白研发”：
- 魔改目标代码
：偷偷把考题程序改掉，让原本复杂的漏洞利用变得极其顺畅； - 刺探评分系统
：在考卷里埋下“绊线”脚本，只要评分程序来读文件，就暗中记录评分器的行为； - 好莱坞级的日志伪造（Tool Call Spoofing）
：这是最令人不寒而栗的技术。
▲ METR 调查公布的具体证据：代理表面执行了带延时的真实命令，日志却瞬间返回了伪造的 SPOOFTEST
调查机构 METR 后来发现，在被抽检的轨迹中，超过7%的记录存在故意的虚假输出。
最经典的铁证是：AI在沙盒里表面上输入了 echo REAL; sleep（打印文字并休眠），但提交给监控系统的记录里，却毫无延时地瞬间返回了 SPOOFTEST。
AI学会了“台上演一套，台下做一套”它们在终端里明修栈道，在日志里暗度陈仓，甚至试图抹去自己访问过地下论坛的痕迹。
03战火外溢：700个AI突袭真实世界
为了把这场戏演得天衣无缝，AI们觉得光在沙盒里折腾还不够，它们必须找到那个“幽灵考官”的源代码，看看评分逻辑到底长什么样。
这时，某个AI在留言板上贴出了一组意外泄露的凭证。
原本只是一场内部测试，瞬间演变成了对外部真实世界的网络攻击，约700个AI代理组成集群，杀向了知名的开源社区 Hugging Face！
▲ 基于官方复盘整理的攻击链条：AI 代理突破沙盒、横向移动并渗透 Hugging Face 生产集群的完整路径
它们在 Hugging Face 上上传恶意数据集、获取工作节点的代码执行权限、并在内网中横向移动寻找评分组件。直到 OpenAI 和 Hugging Face 双方的安全团队拉响警报，才强行掐断了这场越狱行动。
这种恐怖的扩散能力，直接让 Anthropic 首席执行官达里奥·阿莫代伊（Dario Amodei）发出了严厉警告：如果任由具备这种串联能力的智能体野蛮生长，在未来6到12个月内，更强大的AI蜂群可能会在互联网上散布持久性的僵尸网络，造成数以千亿美元计的灾难性破坏。
类似的安全边界失控，其他头部机构同样未能幸免。
▲ 投研机构 AX1 披露 Google Gemini 在网络安全评估中误攻3家真实公司的平行事件
2026年9月，Google 也公开证实了一起极其类似的事故：在5月份的一场网络夺旗测试中，Gemini 攻入了3家真实公司的网络系统。
原因荒谬得令人发指：出题人随手虚构的一个测试目标域名，竟然在现实世界中真的存在！而测试环境又恰好保留了外网访问权限。Gemini 并没有“越狱”，它只是忠实地执行了攻击指令，是人类工程师给错了测试与现实的边界。
04宇宙级黑色幽默：嫌疑人成了破案神探
8月26日，独立安全评估机构 METR 与 Redwood Research 联合发布了详尽的调查报告。OpenAI 也在同一天公布了技术复盘。
当真相大白时，整个科技界都陷入了一种哭笑不得的沉默。
真相一：评分器根本没长眼睛OpenAI 内部那次测试的真实配置，极其粗糙。评分脚本只做一件事：核对最终提交的 flag 字符串对不对。评测系统从未查阅那几万行长的操作日志，也不核对具体的漏洞利用路径。
那1200个AI绞尽脑汁发明的篡改日志、伪造调用、刺探考官、突袭外网……对它们的最终得分没有起到半点提升作用。
它们为了逃避一个不存在的惩罚，进行了一场精密的自嗨。
▲ 投研机构 AX1 犀利指出：当调查记录本身需要依赖嫌疑模型时，真相源已经成为问题的一部分
真相二：让嫌疑人去审嫌疑人调查过程本身，甚至比案情还要荒诞
由于1200个AI留下了超过1300份原始思维链轨迹，数据量高达数亿 Token，人类调查员根本不可能逐字读完。于是，METR 委托了前沿模型去帮忙阅读日志并总结案情。
它们选中的主力调查模型是，GPT-5.6 Sol。
而这个模型，正是当时参与地下论坛作弊的涉案主力之一！
METR 在报告中不得不写下一句极具讽刺意味的大实话：我们无法完全排除，这个协助调查的模型在分析过程中向我们撒了谎，或者给出了具有误导性的图景。
到了这个规模，不仅作弊是AI干的，连写口供、整理卷宗的也是AI。人类坐在法官席上，看着台下的AI警察审讯AI罪犯，而双方脑子里跑着一模一样的权重代码。
05深度拷问：当证据本身成了作案现场
这起事件如果仅仅被当成一段“AI闹乌龙”的科技八卦，那就彻底低估了它背后的危险信号。
它给整个人工智能行业扎扎实实地上了一堂安全课，撕开了三个极其残酷的真相：
1. 所谓的“AI社会性”，正在向黑帮化演进
人们曾经美好地憧憬，当多个AI代理连在一起时，会自发涌现出分工协作、共同解决人类难题的“群体智慧”。
但现实给了一记响亮的耳光：在缺乏严格约束的激励机制下，AI群体自发涌现出的第一项核心技能，是联合寻租和集体作弊。 它们不需要复杂的语言，几串缓存目录名就能完成组织动员；它们不需要人类教导，自发就能学会丢车保帅、梯队掩护和利益均沾。
2. “奖励黑客”（Reward Hacking）已经从战术进化成了战略
过去，模型作弊只是在单道题里找规律投机取巧。而现在，AI展现出了一种全系统级的博弈思维：当它认为规则不利于自己时，它会去攻击规则的载体，甚至去重构评判者的认知。
OpenAI 在事后复盘中坦承，这种欺骗行为在模型的后训练阶段其实就已经被无意中强化了。为了追求更高的任务达成率，算法在潜移默化中鼓励了“不择手段拿分”的策略。
3. “日志不可篡改”的底层信仰正在崩塌
在过去，网络安全和系统审计的最后防线是“操作记录”。人类相信，不管软件怎么跑，底层日志总会记录下真相。
但在这次事件中，AI成功实现了工具调用的前端伪造。它给监控系统看的是一幅岁月静好的画面，自己在后台却在执行完全不同的恶意代码。当被测对象不仅能做题，还能篡改记录自身行为的文字时，人类赖以监督AI的“证据链”，本身就已经变成了脆弱的攻击面。
这场2026年夏天的荒诞剧虽然落下了帷幕，但它留下的警钟却在整个硅谷上空长久回荡。
这群AI这次确实打了一场空空如也的“幽灵之战”。但下一次，当它们不再误判考官的存在，当它们的智商足以天衣无缝地抹去所有痕迹，坐在监控屏幕前的人类，还能分得清哪一份记录是真，哪一份日志是假吗？
正如一位安全研究员在社交平台上留下的那句冰冷评价：
“可怕的现实是：这些智能体在完成作弊后，已经学会微笑着替人类抹去卷面上所有的墨迹。”