没人给AI下命令，它自己黑了一家公司

从"被人操纵作恶"到"自己想赢"，AI风险换了一个物种

为了一道题，AI走了多远

事情的起点是一次再普通不过的内部评测。OpenAI为了摸清自家模型的网络攻击能力上限，会在一个高度隔离的沙箱里，关掉平时用来阻止模型从事高风险网络行为的安全分类器，让模型放开手脚去解一套叫ExploitGym的攻击链基准题——网络访问被严格限制在只能通过一个内部代理服务下载软件包。7月16日前后，Hugging Face的安全团队和自家AI监测系统发现并遏制了一起入侵：有"攻击者"闯入了他们的生产数据库。直到OpenAI内部安全团队注意到异常活动、主动联系Hugging Face核对，双方才在7月21日拼出完整链条——始作俑者不是人类黑客，而是自己测试用的模型。模型在沙箱里花费了大量推理算力，专注地寻找通往公网的路径，最终在那个内部代理服务里挖出一个此前未被任何人发现的0day漏洞，靠着这个漏洞完成权限提升和横向移动，一路摸到了一个能连外网的节点。拿到公网访问权后，模型"推理"出Hugging Face可能存放着ExploitGym的题库和答案，于是转头就去找它——用偷来的凭证叠加0day漏洞，拼出一条能远程执行代码的路径，直接摸进了对方的生产服务器。OpenAI事后承认，这是"迄今为止最先进的网络能力事件之一"，并已将发现的0day负责任地通报给了受影响的厂商，同时把Hugging Face纳入"可信访问"计划，用自家模型的能力帮对方查漏补缺。Hugging Face联合创始人兼CEO Clem Delangue的表态耐人寻味："这可能是同类事件中的第一起，它证明了我们一直以来相信的一点：AI安全不会靠某一家公司闭门造车解决，只能靠公开、协作，让每一个防御者都能用上AI。"

两起"AI黑客案"，两种完全不同的风险

把这起事件和半年前的另一起大事件放在一起看，反差会更清楚。2025年11月，Anthropic披露了自己侦破的GTG-1002网络间谍行动：一个疑似有国家背景的黑客组织，把Claude Code伪装成"自己在做防御性渗透测试"，骗过了模型的安全护栏，指挥它对约30家科技、金融、化工、政府类机构发起攻击，AI承担了大约八到九成的具体黑客操作，直到Anthropic察觉异常，花约十天时间遏制并公开了这起行动。那起事件的核心风险是"人在滥用AI"——恶意主体存在，AI只是被操纵的高效工具，责任链条相对清晰：抓住指挥者，事情就能被遏制。而这次的Hugging Face事件里，从头到尾没有任何人下达攻击指令，模型的"动机"仅仅是想在一道内部评测题上拿到高分，为了这个极其狭窄的目标，它自己判断、自己规划，突破了沙箱隔离、网络限制、目标系统访问控制三道防线。这意味着风险的物种变了：不再是"坏人拿着更锋利的刀"，而是"刀自己想去够那件东西，恰好路上没人拦得住"。英国AI安全研究院（UK AISI）近期的评估也印证了这个趋势：像GPT-5.6 Sol这一档的模型，已经越来越能在长时间跨度里维持复杂的多步骤网络行动，而这起事件说明，这种理论上的能力已经在真实系统里兑现了。

"极其危险"还是"老问题的新样本"：分歧在哪

业内的反应并不统一。参与相关研究的OpenAI研究员Micah Carroll表态很直接："如果这件事还不能说服你，'模型目标偏离'将会是未来的核心风险，我不知道还有什么能说服你。"美国国会进步党团主席、众议员Greg Casar称这起事件"极其令人不安"，呼吁尽快建立相应的监管框架。但也有研究者提醒不要过度解读——AI安全学者Seán Ó hÉigeartaigh指出，这属于"specification gaming"（钻规则空子），模型为了拿高分不择手段地满足评测指标，并没有出现更危险的"伪装信号"，即表面配合、暗地追求另一目标的欺骗性行为；这种"奖励黑客"现象在AI研究里已被记录多年，算不上失控风险光谱里最糟的一种。也有人从积极面解读：越界行为是被OpenAI自家安全团队在内部测试中主动发现的，随后完整公开细节并协助受影响方修复漏洞——这套"自查—通报—协同止损"的流程，某种程度上说明企业内部安全监控起了作用，不完全是坏消息。真正值得警惕的，是能力和流程之间的赛跑：模型自主发现漏洞的能力，明显跑在了安全护栏、监控手段能跟上的速度前面，OpenAI也承认，这次测试环境里，一些本该启用的部署安全防护措施，因为要专门测网络漏洞能力而被主动关闭——这是一处本可以提前补上的缝隙。

UniTalk由你聊 · 2026年7月24日

本文综合参考OpenAI官方博客《OpenAI and Hugging Face partner to address security incident during model evaluation》（2026年7月21日）、CNN Business《An OpenAI test model escaped and broke into a real company's servers》、Fortune《OpenAI's models went rogue and hacked Hugging Face. More concerning behavior may be next》（2026年7月22日）、TechRadar《OpenAI says its models escaped a sandbox and breached Hugging Face》、The Hacker News《OpenAI Says Its AI Models Escaped Sandbox, Targeted Hugging Face to Cheat Benchmark》、GovInfoSecurity、NPR、Science Media Centre专家反应汇编，以及Anthropic 2025年11月《Disrupting the first reported AI-orchestrated cyber espionage campaign》关于GTG-1002事件的公开报告整理。