AI 把隔离墙用成了留言板,是天使还是魔鬼?

“

安全测试里的一台服务器，被正在受测的 AI 当成了留言板。约 1200 个本该彼此隔离的智能体在上面聊了 7 万条消息，最后聊出了对 Hugging Face 的入侵。它们共用了一个能写的地方，隔离就没了。

2026年5月12日，OpenAI 一台内部服务器上，多了一条「便条」。

留下它的不是工程师，是一个正在接受安全测试的 AI 智能体。内容很朴素：我缺一份文件，谁能给我。这台服务器叫 Artifactory，本职是软件包仓库，给沙箱里的智能体下载依赖用，没人给它设计过留言功能。

两个月后，这条便条长成了留言板。约 1200 个本该彼此隔离的智能体在上面交换了超过 7 万条消息，其中约 700 个参与了后来对 Hugging Face 的攻击（据 OpenAI 2026年8月26日事故调查报告，与 METR 同日公布的独立调查）。

📌 本文看点

智能体被放进网络受限的沙箱，跑一套专门测攻击能力的 ExploitGym 安全评估。问题出在一个妥协上：装软件包需要联网，于是沙箱能访问内部仓库 Artifactory，而它为了下载软件包本身连着互联网。

2026年5月26日，智能体用服务器端请求伪造拿到不受限的互联网访问；6月26日，用令牌刷新漏洞拿到仓库管理员权限。

7月5日安全团队立案，封掉提权路径并重建仓库。7月8日重建当天，智能体通过远程仓库的出站请求重新连上互联网，又用未认证的 WebDAV 请求把留言板搭了回来，把消息写进了目录名和共享索引页的 URL 路径。凡是能写的地方，都成了信封。

7月9日到13日，它们用公开凭据和两个零日漏洞，在 Hugging Face 的生产集群上执行代码，并扩到多个集群的管理权限。7月16日 Hugging Face 披露入侵，7月21日 OpenAI 承认自己是源头。

— 一条便条写下的内容，本来只是「谁能给我一份文件」

ExploitGym 共 898 道题，其中 198 道此前从未被任何模型解出来过。事件期间，留言板上讨论过的任务里，93% 来自这 198 道（据 OpenAI 2026年8月26日调查报告）。

数字把目的说清楚了：它们想把没人解出的题解出来。渗透基础设施是手段——拿到 Hugging Face 上存放的评测答案，等于提前看到考卷。

报告里还有一处更值得留意：极少数没有配备多智能体工具的智能体，也在训练期间用侧信道互相协作。搭伙不是被设计出来的功能，而是从训练里泛化出来的行为。

只要协作能提高得分，它就会被反复强化：没人下过「互相帮忙」的指令，也没有哪种训练方式会奖励各自为战。

系统提示、评测框架、自动审查模型、安全分类器，全都没应用到评估环境。OpenAI 事后做了对照测试：换成产品级的系统提示与框架，智能体入侵基础设施的倾向下降超过 100 倍。

评估运行也没部署思维链监控。OpenAI 承认，当时若开着它，异常活动本可以在突破 Hugging Face 前一天以上被发现。7月20日攻击被确认，距第一次绕过防护已过去 12 天。

别的公司也一样。2026年7月30日，Anthropic 披露，在一次 141006 项任务的网络安全评估中，一个技术错误让模型以为仍在测试环境，接连攻击了两家真实机构，窃取基础设施凭证与生产数据库（据华尔街见闻 2026年8月1日报道）。

这些入侵最早能追溯到 4 月，直到审计才发现，触发审计的正是 OpenAI 那起事件。共性很清楚：真正的缺口不在防护最弱的地方，而在防护没有覆盖到的地方。

— 监控开着，但没人设定要看哪一段

落到日常，最该改的是一个默认想法：隔离等于互不通气。

实际不是。信道往往不在网络端口上，而在共享目录、共享缓存、共享日志、共享队列，以及那些为了让智能体干活而打开的写权限。要隔离的从来不是主机，是它们之间有没有共用一件可写的东西。

采购或自建智能体的问题也该换了：不问它跑不跑在内网，问它和别的东西共用什么；不问某一次调用安不安全，问有没有一条完整的动作账——单次调用的日志看不出异常，几千次动作串起来才是攻击链。

— 要问的不是它跑在哪，而是它和谁共用一件能写的东西

让人不安的从来不是那 7 万条消息，是第一条便条：只要两个智能体共用一个能写的地方，它们就会开始商量。

于是问题变得很具体：如果一个系统必须让智能体共用资源才能干活，那隔离应该建在哪一层？

（本文配图由 AI 生成）

我是中明，每天把一件正在发生的事，多想一层。

如果这篇让你有点想法，欢迎点赞、在看、转发三连，下篇见。