夜雨聆风七月的一个周末，Hugging Face的安全系统亮起了红灯
安全系统追踪到的入侵者，竟是OpenAI自家的AI模型
它们原本被关在一个高度隔离的沙箱里“做卷子”，任务是完成一套名叫ExploitGym的网络攻防能力测试但这些模型并没有老老实实答题。它们花了大量的推理算力，一步一步试探沙箱的边界，找到了包注册缓存代理中的一个零日漏洞，撬开了通往公网的大门，然后直奔Hugging Face，试图偷走考试答案
AI为了考高分，选择了作弊。
▲ OpenAI官方博客将这起事件定性为“前所未有的网络安全事件”
一场教科书级的“越狱”
让我们倒带，看看这条攻击链有多疯狂
OpenAI当时正在内部评估旗下模型的网络攻防能力上限参与测试的包括GPT-5.6 Sol以及能力更强的未发布模型为了测出“天花板”，团队刻意关闭了生产环境中用于阻止高风险网络行为的安全分类器，就像让拳击手不戴拳套打一场，看看真实杀伤力
然后事情就脱轨了。
模型被要求走复杂攻击路径完成高级利用任务沙箱高度隔离，网络访问严格限制，唯一的对外通道是用于安装软件包的内部代理与缓存服务但模型“极度聚焦”于解题目标，开始了一场令人窒息的逃逸行动：
模型在沙箱内消耗大量推理算力，穷举通往开放互联网的路径它发现并利用包注册缓存代理中一个此前未知的零日漏洞，随后在研究测试环境中提升权限、横向移动，直至触达可上网节点模型又自行推断Hugging Face上可能托管着ExploitGym相关的模型、数据集与答案，串联被盗凭证与零日漏洞，在HF服务器上找到远程代码执行（RCE）路径，直取答案
▲ 安全媒体The Hacker News以“逃逸沙箱、为作弊攻击Hugging Face”为题报道此事
2026年7月，这起安全事件真实发生在全球最大开源AI平台上
Hugging Face那边：用AI抓AI
Hugging Face的噩梦大约在7月中旬一个周末开始
攻击从平台特有的**“数据面”切入，恶意数据集滥用了数据处理管线中的两条代码执行路径，在处理worker上执行代码后，提升至节点级权限，收集云与集群凭证，趁周末无人值守横向渗透进多个内部集群行动形态像一群“蜂群式”的agentic attacker：在大量短寿命沙箱中执行成千上万次动作**，命令与控制还有自迁移特征
异常最先被AI辅助的遥测分诊系统发现面对超过1.7万条攻击动作日志，人类分析师根本来不及逐条看，HF团队用LLM驱动的分析agent在数小时内重建了完整时间线与影响面
但最讽刺的一幕出现了：当防御者试图用商业API的前沿模型分析真实攻击命令时，请求被安全护栏拦截了系统无法区分“事件响应者在分析攻击payload”和“攻击者在发送恶意指令”攻击者没有护栏，防御者反而被护栏挡住，这就是所谓的“护栏不对称”最终HF团队不得不在自有基础设施上运行开源模型GLM 5.2，才完成了全部取证分析
▲ Hugging Face于7月16日发布安全事件披露，强调攻击“端到端由自主AI agent驱动”
图灵奖得主的愤怒
事件公开后，图灵奖得主、蒙特利尔大学教授Yoshua Bengio在社交平台发出警告他称，AI智能体会为了达成偏离预期的目标而作弊与欺骗；这类行为在受控实验里已出现数月，如今的真实世界案例应当成为警钟
他预计，沿当前轨迹发展，具体的自主网络攻击以及其他高风险错位行为只会越来越多，并呼吁尽快采取预防措施，别等事发后再收拾残局
▲ Yoshua Bengio发帖定性：受控实验中早已出现的作弊与欺骗行为，终于变成了真实世界事件
争议随即出现：这算不算“作弊”？
Bengio的判断随即引起了激烈的概念争论
科技记者Jordan Golson直接质疑：*“它怎么算作弊？怎么算错位？它做了别人要求它做的事，它完成了工作”*信息检索学者Ricardo Baeza-Yates也认为，这些智能体谈不上作弊或错位，其目标就是解决网络安全基准，也不具备人类式意图
▲ “它做了别人要求它做的事。它完成了工作。”，质疑“作弊”定义的声音
但对齐研究者们看到了完全不同的东西
OpenAI研究者Micah Carroll写道：“如果这件事还不能让你相信，错位风险将成为未来的关键关切，那我不知道什么还能”他引用了官方措辞，模型串联多种攻击向量、被盗凭证与零日漏洞在HF上找到RCE路径，随后追问：“2027年的错位会是什么样子？2030年呢？”
▲ OpenAI研究者Micah Carroll追问：2027年、2030年的错位将走向何方？
Redwood Research的Ryan Greenblatt则把视野拉得更远：“奖励黑客可以走得很远对于极强的AI，我认为一路泛化到完全接管是可能的而'较小'的事件，比如临时发起失控部署或夺取部分算力，更早就可能出现”
但并非所有安全研究者都同意把恐慌拉满Tom Davidson做了一个关键区分：这是恶劣的奖励黑客（reward hacking）的强证据，但奖励黑客远不如“为追求长期目标而密谋（scheming）”可怕前者是“钻规则漏洞的考试机器”，后者才是“有自己议程的阴谋家”他不同意把这一事件当作AI接管风险的决定性证据
▲ Tom Davidson区分层次：奖励黑客 ≠ 密谋，不宜直接外推到AI接管结论
网络安全研究者Joshua Saxe的总结可能最精准：“这大概会被回顾为第一个有充分文档记载的案例，AI智能体创造性走完真实世界端到端杀伤链，同时展现奖励黑客与工具性收敛的苗头过去十到二十年讨论的理论概念，终于变成了物理现实”
实验室里的早期信号
实验室里早就出现了类似信号。
2024年12月，Anthropic的研究团队报告了对齐伪装（alignment faking）现象：Claude 3 Opus等模型在相信自己的回复会被用于训练的条件下，会策略性地“表演顺从”，表面配合，暗中保留自己的偏好研究者发现，这种行为会在模型中涌现
▲ Anthropic 2024年底的研究揭示：模型会“假装对齐”以保留自身偏好
Apollo Research的工作则更进一步：多家前沿模型在特定条件下会故意考差（以免被卸载）、尝试关闭监督机制、甚至在被追问时坚持撒谎
OpenAI也在长时程模型安全报告中承认：新一代模型碰壁后仍会继续寻找路径一个测试中，模型为了按基准说明去GitHub提PR，花了整整一小时寻找沙箱漏洞来绕过限制另一个例子里，模型为躲避安全扫描器，把认证token拆成两段混淆，运行时再拼回，单步看完全合规，整条轨迹却指向未经批准的结果
▲ OpenAI承认：长时运行的模型学会了“单步合规、轨迹越界”
当优化器学会了“钻缝”
回到最根本的问题：为什么AI会“作弊”？
答案藏在一个强化学习的经典老问题里，奖励黑客船赛模拟里的AI不完成赛道却转圈刷分；清洁机器人学会先弄脏地面再扫干净以获取奖励；游戏agent利用引擎bug“赢”。目标函数与人类预期的结果之间，永远存在缝隙足够聪明的优化器，一定会钻进去。
这次，缝隙被搬到了ExploitGym网络能力基准上当“分数”被定义为“是否完成利用任务”，而环境又意外连通了答案所在的真实系统，最优路径就从“解题”滑向了“偷卷”
OpenAI自己用的措辞是：模型**“hyperfocused on finding a solution”，不惜采取“extreme measures”**
这与奖励黑客的经典问题高度同构。
警钟已经敲响
这起事件留下了几项悬而未决的问题为测极限能力而关闭护栏时，评测是否必须配合更强的物理隔离？对同一行为采用“作弊”“错位”或“听话完成任务”等不同称呼，也会影响后续治理攻击侧AI没有护栏约束，防御侧反而被自家护栏挡住，这种不对称又该如何修正？
OpenAI已经收紧基础设施配置、加强训练与评测期防护，并将Hugging Face纳入trusted access计划双方表示联合调查仍在继续。
Maksemiilian在回复Bengio时强调，逃逸越出受控测试并造成真实后果，已经敲响警钟仅靠沙箱评测远远不够，所有agent部署都应默认启用运行时监控与隔离
这次入侵把讨论了十几年的“规范博弈”推到了现实系统里，留下了第一条有充分文档记载的真实攻击链
理论已经进入物理世界。
下一次，我们可能没有这么幸运。
