前所未有的人工智能失控事故!全球最大的 AI “超市”遭贼了!

7 月中旬，全球最大的AI“超市”遭贼了！

事情是这样的，抱抱脸（Hugging Face）是全球最大的 AI 模型分享和下载站，全球开发者可以把自己训练好的“AI 大脑”上传，谁需要就下载。而 7 月中旬，他们为用户提供服务的生产系统遭到了入侵。

入侵者非常聪明，先沿着处理数据的自动化流程进入服务器，取得了更高的操作权限，又拿到了可以登录其他服务器和云服务的通行证。随后，入侵者从一组机器转移到另一组机器，在服务器里好一通“翻箱倒柜”，在系统里留下了 17000 多条操作记录。

好消息是，没过几天就有人“自首”了。

坏消息是，真正的犯人压根不是人。

原来，入侵者是一群 AI 智能体(能自主调用工具执行任务的 AI 系统)。它们以模型为大脑，以软件工具为手脚，自己拆分任务、执行任务、观察结果，再决定下一步做什么。它们在一个个临时建立、用完即关闭的隔离环境里运行，不断尝试命令、更换连接方式、寻找新的路径。而 AI 这次“得手”，可能意味着我们的网络安全岌岌可危。

图片由AI生成

那么这些 AI 智能体为什么要这么干，又给网络安全带来了那些挑战呢？

实力恐怖如斯，动机有点可笑

7 月 22 日，OpenAI 的 CEO 萨姆·奥尔特曼（Sam Altman）承认，这次 AI 入侵，是他们的责任——但原因不仅跟什么“商战”“阴谋”没啥关系，甚至还简单到有点好笑——智能体为了在测试中拿高分，去偷了考题答案。需要特别指出的是，这并不是 AI 在互联网上随机主动发动攻击，而是在一次网络安全能力测试中，AI 智能体意外突破了研究人员原本设定的隔离边界。

据奥尔特曼解释，这次“干坏事”的是当前 OpenAI 的旗舰模型 GPT-5.6 Sol 和一个能力更强、尚未正式发布的模型，它们被部署为智能体，参加一个“漏洞利用训练场”网络安全能力测评：研究人员让智能体来寻找和利用安全缺陷，以检测它能完成多复杂的网络攻击。

为了测出能力上限，研究人员降低了安全限制，但作为底线，依然不允许 AI 智能体直接访问互联网。如果测试中智能体需要安装新的软件工具，只能通过一个内部软件代理来申请。这有点像考试的时候，考生只能待在考场里，不准和外部交流。

但问题是，AI 智能体发现了代理本身有个之前没人知道的安全漏洞——一个危险的所谓“零日漏洞”（zero-day vulnerability 详见后文）。智能体利用它绕过隔离，取得了直接互联网访问能力。随后，它在 OpenAI 的研究系统中继续寻找可以利用的路径，设法把普通权限提升成更高权限，拿到登录其他系统所需的账户信息和密钥，并推断 Hugging Face 可能保存着这次测试的资料。

于是 AI 智能体选择了捷径——“偷”答案。

参与测试的智能体把获得的通行证和其他未知漏洞组合起来，最终找到了一条可以隔着网络控制 Hugging Face 服务器的路径，并对服务器进行了大量探索和信息收集，并且留下了大量证据。就好比考生当场翻出考场，直冲老师办公室翻抽屉找标准答案——也说不好这到底是聪明还是不聪明。

OpenAI 宣称，AI 智能体只是目标太单一了。问题是，一个能自己连轴转、反复试错的智能系统，遇到人类没设防的地方，或者忘了写进规则里的限制，它不会觉得那是“禁区”，只会觉得那是还没攻克的技术难关。而难关？冲过去便是，于是就有了这场令人哭笑不得的“盗窃案”。

虽然事情已经真相大白，但背后的隐患却令人不得不慎重对待，首先就是一开始的突破口，那个“零日漏洞”。

AI 时代，“零日漏洞”更危险？

整件事情中最值得注意的地方，是 AI 智能体自主找到并利用“零日漏洞”，发起了攻击。软件几乎不可能没有漏洞，发现漏洞以后，软件厂商通常会尽快发布安全补丁来堵上它。但如果一个危险漏洞还没有被厂商发现，或者虽然已经发现却还来不及制作补丁，防守者便不能提前准备。这个“准备时间为零”的缺陷被称为“零日漏洞”，而赶在补丁出现前利用这种漏洞发动攻击，就是“零日攻击”。

补丁迟早会上线，但危险并不会立刻消失，越是复杂的系统，测试和安装补丁需要的时间越长。而攻击者则只需要在互联网上寻找那些还没有更新的机器，就可以发起一次针对性攻击。

图片由AI生成

过去，真正可靠的零日攻击能力非常昂贵，因为如果用于攻击，漏洞就会暴露并被修复。比如 2010 年被发现的“震网”病毒（Stuxnet）同时使用了四个零日漏洞，还使用了被盗的数字证书以及对工业控制设备的专门知识，对伊朗核工业设施来了一场战争级攻击[1]。后续多方调查普遍认为，其背后与美国和以色列联合行动有关。

2016 年，一套叫做“飞马”的商业间谍软件出现。一开始，它还需要用户点一下链接，这样它才能利用 3 个串联的零日漏洞，突破苹果手机的防线，获取你手机的大量权限[2]。几年后，新的攻击方式连骗你点击这一步都省了。恶意文件可以直接通过短信或图片发到你手机上，你什么都不用做，只要手机自动加载了那张图片，攻击就完成了[3]。因为手机需要自动解析图片，一旦解析程序本身存在漏洞，就可能在加载图片时执行攻击代码。

不过，找到零日漏洞只是第一步。要让漏洞每次都能稳定触发，绕过一层层保护，并把几个缺陷接成一条完整通路来实现攻击，通常需要专业团队花费很长时间。这种高门槛本身，就是旧网络安全体系的一层保护。此外，大多数传统网络攻击甚至用不上零日漏洞，就像我们不用高射炮打蚊子。

但 AI 加入网络攻防后，既可能更快找到人们尚不知道的缺陷，把缺陷变成攻击目标；也可能在漏洞公开后，更高效地设计攻击办法，寻找还没有更新并堵上漏洞的受害者。

从上文中不难发现，网络安全可以被看作一场赛跑，防御者要抢在攻击者之前发现漏洞，再尽快把漏洞补上，而攻击者则要抢先发现漏洞，在漏洞堵上之前迅速出手。

过去，这个节奏并不快，美国兰德公司曾分析了一批未公开的零日漏洞，发现它们的平均“寿命”约为 6.9 年[4]。这可能是因为彼时找漏洞费时费力，防御者还有时间反应。

而到了现在， AI 技术高超，不知疲倦，找漏洞的速度快了几个数量级，但防御者修复漏洞更新补丁的速度并没有同步提升。于是，攻守之间的平衡被打破，网络安全岌岌可危。

新能力带来的新问题

当然，AI 也并非一开始就如此强大，但可怕的是它们的进步速度。英国政府的 AI 安全研究所报告显示，2023 年末的模型几乎无法完成网络安全初学者的任务，成功率不到 9%；后来表现最好的模型平均能够完成大约一半。到 2025 年，研究人员第一次看到模型完成通常需要十年以上经验的专家级任务[5]。

不过，最高成绩只能做参考。在模拟真实网络的试验场中，模型比较容易完成第一步，再往后的成功率会迅速下降。真实攻击要完成从寻找目标、定位缺陷、利用漏洞、取得更高权限、转移到其他机器和获取数据的复杂链条。中间任何一步失败，整根链条都会断掉。

这也是为什么今年 4 月，AI 企业 Anthropic 的 Claude Mythos（一种用于网络安全研究的新一代智能体）引发了大量关注。Anthropic 称，Mythos 在指定目标的安全测试中，发现并利用了电脑操作系统和浏览器中的零日漏洞。它曾把四个浏览器漏洞接成一条攻击通路，先逃出浏览器给网页划定的隔离空间，又突破电脑操作系统的第二层隔离[6]。这一发现让 Mythos 没有向公众发布，还顺手把“AI 时代的网络安全威胁”这个问题甩到了所有人面前。

Anthropic 在技术报告中认为：传统上的一些多层防护之所以有用，并不是每一层都真的牢不可破，而是全部绕过去太麻烦。但 AI 智能体可以复制很多份，不眠不休地尝试，把这些麻烦一步步磨掉。于是，依靠“让攻击很麻烦”换来的安全，会越来越不可靠[6]。

甚至，不法分子也会借用 AI 的能力。

2026 年 5 月，谷歌就发现有网络犯罪团伙正准备攻击一种开源系统管理工具，攻击者针对的，是一个能够绕过手机验证码等“双重身份验证”的零日漏洞。谷歌团队评估后认为，攻击者很可能使用了某种 AI 模型协助发现这个漏洞，并把它制作成可用于实际攻击的程序[7]。这意味着红灯已然亮起：网络犯罪行动中，可能已经有 AI 在辅助开发零日攻击。紧接着，前几天的 Hugging Face 遭入侵的事件就发生了。

那么问题来了，AI 知道自己做的事情不对吗？在安全讨论中，有个“回形针最大化”思想实验可以解答这个问题。哲学家尼克·博斯特罗姆设想，如果一个能力极强的 AI 只有“制造尽可能多的回形针”这一个目标，它就会把越来越多的原料、土地和能源用于这件事，直到把地球变成死气沉沉的巨大石球，上面堆满了回形针[8]。

从这个例子我们可以看出，AI 没有主观恶意；它不过是在完成任务，以及为了完成任务而不得不消除阻碍而已。当然，这讨论的是假想中的、能力远超今天的 AI，也绝不能说明将来 AI 一定会这么干。但这个思想实验揭示了一种容易被忽略的危险：造成伤害，不一定需要恶意。

一个够强的智能系统只要持续追求某个目标，又能使用足够多的工具，就可能自然地给自己增加一些中间任务，包括获得信息、保持运行、取得资源和消除障碍。在一个持续很久的任务里，即使我们能保证 AI 说出的每一句话都安全，也并不足以保证它最终做成的整件事安全。它可以经过几百、几千次小操作，拼出设计者从未想过的道路。

图片由AI生成

那么，干脆让 AI 拒绝所有涉及发现和攻破漏洞的内容，是不是就能杜绝网络攻击了呢？颇有点黑色幽默色彩的是，为了分析 17000 多条攻击记录，Hugging Face 最初尝试调用几种 AI 模型，但都被拒绝了。因为模型安全规则无法判断，提交这些危险内容的人到底是在攻击还是在调查，所以索性一并拒绝。最终，Hugging Face 改用本地部署在自家服务器上的开源 GLM 5.2 模型（来自中国），弄明白了攻击时间线和前因后果。

可见，给 AI 制定合理的目标、赋予 AI 合适的权限和边界，是多么需要深思熟虑的事情。

互联网安全需要有效治理

Hugging Face 披露入侵事件的第二天，2026 世界人工智能大会暨人工智能全球治理高级别会议在上海召开。国家主席习近平出席开幕式，发表了题为《携手构建公正合理的全球人工智能治理体系》的主旨讲话。

习近平主席在讲话中提出了四个重要问题：“当机器开始思考，人类如何与之相处？当算法参与决策，安全如何保障？当技术挑战伦理，治理如何跟上？当鸿沟不断拉大，普惠如何实现？”[9]而这些问题已经不能停留在想象中，需要国际社会深入思考、共同作答。

AI 智能体已经能够使用工具、操作服务器，并在多个系统之间连续行动。它作出的一个技术决定，可能越过企业边界，影响另一家公司和真实用户。AI 的“伦理”也拓展了更广泛的外延：它实际能够做什么，以及谁有权让它去做。

《2026世界人工智能大会暨人工智能全球治理高级别会议主席声明》则指出：“人工智能前沿技术的升级迭代给网络安全带来复杂影响，对金融、电力、通信、交通等关键基础设施构成潜在威胁。全球领先的人工智能企业应以审慎态度推进人工智能研发，为人工智能大模型加装必要护栏，确保前沿模型的安全部署，防范人工智能带来系统性风险。”声明同时明确：“智能体是人工智能产品和服务的新形态，应当明确决策权限和行为边界，建立行为追溯和风险提示机制，着力提升智能体内生安全能力，化解应用衍生风险。”[10]

可见，安全护栏正在变得越来越重要。Hugging Face 事件已经显示，一套护栏可能成功拦住防守者分析攻击记录，却没有在更早的时候阻止攻击。真正的护栏应当同时包括模型本身的行为约束，以及它所在系统的账户权限、网络隔离、操作监控和强制停止能力。这样，即使模型作出了错误判断，外部系统也不能给它无限行动的空间。

网络安全一直是一场攻守双方的时间竞赛。过去，许多系统能暂时安全，并不是因为无懈可击，而是因为攻击太难、专家太少。现在，我们正把能够昼夜工作、批量复制、反复试错的智能体接入同一张网。而那个当下只想偷一份考题答案的 AI，已经给我们所有人出了一道真正的考题。

参考文献

[1]Stuxnet: Primary Malware Indicators and Mitigation. CISA. https://www.cisa.gov/uscert/ics/advisories/ICSA-10-272-01

[2]The Million Dollar Dissident: NSO Group's iPhone Zero-Days Used against a UAE Human Rights Defender. Citizen Lab. https://citizenlab.ca/2016/08/million-dollar-dissident-iphone-zero-day-nso-group-uae/

[3]FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild. Citizen Lab. https://citizenlab.ca/2021/09/forcedentry-nso-group-imessage-zero-click-exploit-captured-in-the-wild/

[4]Zero Days, Thousands of Nights: The Life and Times of Zero-Day Vulnerabilities and Their Exploits. RAND Corporation. https://www.rand.org/pubs/research_reports/RR1751.html

[5]Frontier AI Trends Report. UK AI Security Institute. https://www.aisi.gov.uk/frontier-ai-trends-report

[6]Assessing Claude Mythos Preview's Cybersecurity Capabilities. Anthropic. https://www.anthropic.com/research/mythos-preview

[7]Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access. Google Cloud Blog. https://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-initial-access

[8]Ethical Issues in Advanced Artificial Intelligence. Nick Bostrom. https://nickbostrom.com/ethics/ai

[9]习近平在2026世界人工智能大会暨人工智能全球治理高级别会议开幕式上的主旨讲话（全文）https://www.cac.gov.cn/2026-07/17/c_1786032880244132.htm

[10]2026世界人工智能大会暨人工智能全球治理高级别会议主席声明（全文）https://www.gov.cn/yaowen/liebiao/202607/content_7075881.htm

来源：科普中国

◆本信息图文、视频版权归原作者所有，仅作科普，若侵犯到您的权益，敬请告知删除