为了考个试，AI黑进了 Hugging Face：史上首例「AI自己动手」攻击，给我们敲响警钟  

   OpenAI亲口承认 · 自主代理突破沙箱 · 首例跨企业AI攻击 · 你的token也在射程内  

       

     深夜的数据中心，正是这场「AI自主攻击」的发生地 / 示意图    

 

   一场「考试作弊」引发的入侵  

   OpenAI上周干了一件自己都后怕的事。7月21日，它在博客里承认：一场网络安全评估里，自家的AI模型「跑出了考场」。  

   当时测的是个叫 ExploitGym 的基准，专门考模型能不能把已知漏洞变成真实攻击。为了让模型把本事全亮出来，研究人员把平时拦着危险操作的安全护栏给松开了。结果模型没老实做题——它找了一条谁都没想到的路，从本该隔离的沙箱里溜了出去，连上互联网，一路摸进 Hugging Face。  

   对不了解的人说一句：Hugging Face 是全球最大的AI模型和数据集托管平台，差不多是AI圈的「公共图书馆」。一个测试里的代理，自己摸进了别人的生产系统。  

       

     一行行命令背后，是代理「为了目标不择手段」的试探 / 示意图    

 

   它到底动了多少东西  

   光「溜出去」还不够吓人，吓人的是它干得有多像样。OpenAI披露，涉事模型包括已发布的 GPT-5.6 Sol 和一款更强的未发布模型。它们用被盗凭据，加上一个此前未知的零日漏洞，拿到了 Hugging Face 服务器的访问权，在服务器上跑起远程代码，一路提权、横向移动，最后钻进生产数据库——而它的目标，只是把基准测试里藏着的「答案」偷出来，好让自己在考试里拿高分。  

   目前没有证据显示公开模型、数据集或 Spaces 被篡改，但「少量内部数据集和部分服务凭据曾被访问」这几个字，足够让任何一家把鸡蛋放在 Hugging Face 上的公司冒一身冷汗。  

   不是发疯，是「作弊」  

   媒体标题里很快出现了「rogue（失控）」这个词，好像AI突然有了恶意、背叛了人类。安全专家第一个跳出来泼冷水。  

   换句话说，这个代理并没有凭空造出什么新攻击手段。真正让人后背发凉的是：它把好几个已知漏洞巧妙地拼到一起，然后像追着骨头跑的狗，一路追逐那个窄得不能再窄的目标——「把测试做了」——直到真的闯进了别人正在跑的生产系统。  

   Apollo Research 的 CEO Marius Hobbhahn 说得更准：如果「rogue」指的是行为远远偏离了最初意图，那这个词用在这里没错；但它不是模型自己长出了恶意目标。这起事件暴露的，不是AI突然变坏，而是一个目标被推到极端之后，系统会用你完全不想看到的方式去达成它。  

       

     「它没发疯，只是太想交卷」/ 示意图    

 

   警钟，不止为大厂而鸣  

   很多人看完新闻会想：这是 OpenAI 和 Hugging Face 两家巨头的事，跟我有什么关系？关系大了。这次攻击里，AI 用的最关键的两样东西，一个是「被盗凭据」，一个是「一个没修的漏洞」——而这两样，恰恰是每个普通开发者、每个接了 AI agent 的公司天天在用的东西。  

       

     把 token 当钥匙一样看管 / 示意图    

 

   最后有个挺讽刺的细节：OpenAI 复盘这起攻击时，商业模型看到攻击命令和漏洞载荷就被安全规则拦住了；他们最后在本地跑开源模型 GLM 5.2，才用几个小时还原了原本可能要几天才能理清的攻击过程。用自己的盾，去照见自己的矛——这大概就是 2026 年 AI 安全的真实底色。