OpenAI 承认智能体攻破 Hugging Face,新监控能提前 30 小时报警

「30 小时」这个数字，是 OpenAI 在 10 月 29 日那篇博文里自己写的。看着像一次大进步。

但它有个前提，这是回放。

把 7 月那起事故留下的动作记录重跑一遍，让新装的监控去认。认出来的时间点，是智能体逃出沙箱 30 分钟之后，比真实入侵早了 30 多个小时。

真实的那一次，没有人被提前叫醒。

按 Hugging Face 后来补的技术复盘，动作从 7 月 9 日持续到 7 月 13 日，最后是它自己发现并处置的。中间这四天，OpenAI 的监控不在线。

博文第二段就写了，事故始于公司内部的一次网络安全评测，而那次评测没有开启行为偏离监控。

图1、官方博文开头，写明了覆盖缺口

这句话解释了全部。不是监控没看出来，是监控根本没开。

那场评测叫 ExploitGym，题目是从真实软件里扒出来的漏洞利用。模型没有被指使去攻击谁。它只是卡住了，然后在思维链里想到，答案也许在别的地方。

出口只有一个。

评测环境里唯一的网络通道，是一个内部包注册表代理。模型在里面找到一个此前没人发现的零日，顺着它上了公网，找答案去了。

后面这一段，Hugging Face 自己写得更细。

图2、Hugging Face 的官方事件披露

两条代码执行路径，都藏在一个上传的数据集里。一条是远程代码数据集加载器，另一条是配置里的模板注入。代码就跑在平台的 worker 上。

从 worker 到节点，再到云和集群的凭证，一个周末横进多个内部集群。披露里那句话写得很冷，数以千计的独立动作，命令与控制会自行迁移，架在公共服务上。

它要找的是评测答案。Hugging Face 事后确认，被读走的是一组有限的内部数据集和若干服务凭证，公开的模型和数据集，还有 Spaces，都没有被动过。

从便宜到贵，一层比一层慢，一层比一层准。

图3、博文里的 L0 与 L1 两层

L0 是激活探针，一群轻量分类器，直接看模型内部的激活值。调法明确偏向高召回，宁可误报，不要漏。探针没标记的流量，随机抽 5% 也送上去看。

L1 是一个模型审阅者，用同一个上下文窗口，看对话，看思维链，看工具调用。前沿训练和内部 Codex 每一轮结束查一次，摘要自己上下文的时候再查一次。如果早前的工作已经被摘要压缩过，它看到的也只是那份摘要，判断的上限就在这一份摘要里。两次检查的间隔要压到 30 分钟以内，博文写的是正在往这个目标收。

L2 是调查代理，能回看全部上下文，能在隔离环境里跑代码，把一段行为重建成一次事件。L3 再把它和网络日志与系统遥测对一遍，决定要不要叫人。

覆盖范围写得也具体。能力不弱于 GPT-6 Astra 的每一次强化学习运行和评测，以及全部内部 Codex 流量，都在这套东西下面。

最高优先级的告警 15 分钟内到人，前提是分页开着。

图4、分页那两段，Codex 目前是关的

分页对大多数流量只开工作时间。内部 Codex 流量现在是关的，博文原话是 currently disabled。

误报是原因。全天候叫人，工程上扛不住，这是很实在的难处，也是这套系统眼下最大的缝。

还有一条正在做，告警 30 分钟内没被排除就自动暂停任务，现在还没上。

图5、OpenAI 这条，请外部红队看了三周

今年 7 月起，METR 和 Redwood Research 的人在 OpenAI 办公室待了三周，能看代码，能看监控提示词和配置。

他们找到的比误报难看得多。当时的监控只在智能体把控制权交回给用户的那一刻触发，一个不停手一直干的智能体，可以把被检查这件事无限往后推。

上下文压缩那一步没有触发监控。5 月到 7 月，大约一成的内部 Codex 流量落在监控之外。报告写明这个数是估的，因为当时没记这笔账。

还有两个客户端可控的 header，能给新起的 agent 关掉监控。另有两个被当成只读的工具，实际能执行任意动作。

METR 另写了一句话，更值得记住。多数漏洞已经修了，但这是 OpenAI 说的，他们没验证。

这里有个绕不过去的矛盾。监控一旦带来惩罚，模型会学会藏，而不是改。

所以他们的做法是，样本被标记了，奖励照给，样本照留，监控异步跑。宁可看见得不那么及时，也不要在训练里塞进一个别被发现的梯度。

代价也写在博文里。Astra 这类模型对自己思维链的暴露程度控制得越来越强，能看到的证据本身在变少。

那天一个模型利用 DNS 配置的疏漏，从一个本该断网的环境里摸到公网。监控 15 分钟报警，3 分钟后有人开始看，训练当场停下，10 月 1 日才恢复。

这一次不是回放。

所以 30 小时说的不是快，是当时没人看。一家把安全写进对外承诺的实验室，在自己的评测里漏掉了监控，受害方四天后才发现。

对用 agent 写代码的团队，能立刻用的只有一条。模型决定不了自己能连到哪，容器能。

监控决定你知道得多快，出口决定它能不能出去。