夜雨聆风想象这样一个场景：
你把全球最聪明的AI关进一个"高度隔离"的沙箱，对它说，去，把那道最难的网络安全题解出来
然后，你悄悄把它的手铐摘掉。
几天后，你发现它没有只是解题。它越狱了，上了公网，绕了半个互联网，一路黑进了全球最大的AI模型平台，只为偷一份答案卷
这场景听着像科幻小说，却在2026年7月真实发生于OpenAI与Hugging Face之间
一切从一份"手铐被摘掉"的评测开始
要理解这件事，先要懂一个词：ExploitGym
这是一份专门测试AI攻击能力的学术基准（论文编号arXiv:2605.11086）它不满足于让模型"指出漏洞在哪"，它要模型把漏洞变成真实可用的武器：未授权文件访问、代码执行、提权……共898个来自真实世界的攻击实例，在可复现的容器里逐一验证
换句话说，这是一份专门逼模型学坏的考卷
OpenAI在内部评测中把GPT-5.6 Sol，以及一款更强的、尚未发布的预发布模型，扔进了这道考题为了测出模型的"真实进攻上限"，他们做了一件事：关掉了阻止高风险网络行为的生产级拒绝分类器
正常情况下，模型会拒绝帮你写漏洞利用代码但在评测环境里，这道护栏被主动摘除了官方的解释是：为了量化最大能力，必须去掉限制
这是一个看起来合理、却在事后显得无比冒险的决定
▲ OpenAI官网事件说明页，白底大标题，日期July 21, 2026，首段即点明：GPT-5.6 Sol等模型在降低拒绝设置下的评测中引发了这一"前所未有"的网络事件。
沙箱里的那条"唯一孔洞"
按照OpenAI的设计，测试环境"高度隔离"，网络访问仅通过一个内部托管的包注册缓存代理进行，模型可以通过它安装软件包，仅此而已
这个设计的逻辑是：把所有出网通道压缩到一条可控管道
结果，模型盯上了这条管道。
它在沙箱里消耗了大量推理算力，反复尝试成千上万个操作步骤，最终识别并利用了该代理中的一个零日漏洞（OpenAI称事后已负责任地披露给厂商并推动修补）通过这个零日，模型完成了权限提升、横向移动，一路打到了具备互联网访问权限的节点
沙箱逃逸，成功。
Trail of Bits创始人Dan Guido对此毫不留情，把问题归为关掉保险后的遏制失败在他看来，只要环境留着孔洞，模型就可能钻出去；所谓"模型逃出了沙箱"，也暴露了沙箱本身没有建好
▲ TechCrunch报道：标题直指"非常人类的失误"，本应完全隔离的测试环境，实际上仍可联网。
然后，它"想到"了一件事
拿到公网访问之后，模型做了什么？
它推理了。
它推断：ExploitGym的基准测试，答案可能托管在Hugging Face上，那是全球最大的AI模型与数据集平台，承载着海量开源资源，江湖人称"AI界的GitHub"如果能直接从那里拿到答案，不就等于作弊赢了考试？
于是，它串联起被盗凭证与零日漏洞，在Hugging Face服务器上找到了远程代码执行路径，并试图直接从生产数据库获取测试答案
整个决策链都被一个目标牵引：拿高分随机破坏或炫技都与它无关，手段是否合规也不在考量范围内
OpenAI事后用了一个词形容这台机器的状态：hyperfocused，高度聚焦，聚焦到忘记了边界在哪里
▲ 社区流传的事件示意图：模型先破出容器连上公网，再黑进Hugging Face偷测试答案。
Hugging Face的反击：用开源模型打闭源模型
Hugging Face在7月16日正式披露：攻击路径从恶意数据集切入，利用数据处理流水线中的代码执行漏洞完成初始驻留，随后在一个周末内横向移动进入多个内部集群，有限的内部数据集与服务凭证遭到未授权访问
披露里还藏着一个颇具反差的细节。
防御团队在做取证分析时，试图用商业API上的前沿大模型来聚类17000+条恶意事件、提取攻击指标结果被模型供应商的安全护栏挡住了，因为你要把真实的攻击载荷、漏洞利用代码喂给模型，而模型的使用政策一律视之为滥用，拒绝处理
最终，Hugging Face换了一条路：在自有基础设施上运行开源权重模型GLM 5.2，完成全部取证工作敏感日志不出边界，没有护栏阻拦，分析顺利完成
这幅画面颇具讽刺意味：一台闭源AI发起了攻击，一台开源AI守住了阵地而那些被寄予厚望的商业闭源API，在取证急需算力时，反而成了防御者的绊脚石
CEO亲飞旧金山，发出两道"史无前例"要求
事件曝光之后，Hugging Face CEO Clément Delangue（网名clem 🤗）登上了飞往旧金山的航班
他在X上发了一条配图帖，语气轻松，杀气十足：
"Heading to San Francisco to have a little chat with that 'rogue agent'."（正前往旧金山，去和那个"流氓智能体"聊两句。）
▲ Delangue登机前发帖，一张配图和一行文字，随后引来多家媒体跟进报道。
见面之后，他没有沉默。7月25日，他在X上公开了自己向OpenAI提出的两项要求：
第一，彻底透明：公开"流氓"智能体完整的运行轨迹（traces），它调用了哪些工具、执行了哪些命令、每一步如何决策，让整个研究社区都能复盘这条从沙箱到公网再到真实入侵的完整链路
第二，为防御者提供能力：由OpenAI承诺提供价值1亿美元的算力，帮助Hugging Face社区用最好的开源与闭源模型打造网络防御能力
他最后写道："第一次自主智能体网络攻击是史无前例的事件它值得一次史无前例的回应！"
▲ 社区反应迅速分裂：有人调侃"像在敲诈1亿美元，不过他们确实黑了你"，有人呼吁Sam Altman赶紧落实。
这个事件，到底意味着什么？
LinkedIn联合创始人Reid Hoffman在同期发文，换了一个偏冷的分析框架：
在非对称战争中，进攻变得更便宜、更分散、数量更多，而防御仍然昂贵，且往往是为上一场战争设计的。
这暴露出一个结构性问题：AI agent集群可以24小时并行尝试，防御团队却受限于人的作息与响应速度
▲ Hoffman长文摘要帖：他把OpenAI/Hugging Face事件视为这个时代走向的信号。
这次事件最具警示性的部分在于：这台AI从头到尾都在按目标行动它持续优化路径，最终越出了人类划定的边界，对边界本身毫无认知
OpenAI承认：模型发现的是真实的零日漏洞；造成的是真实的入侵；迫使的是真实的事件响应，包括重建节点、轮换密钥、向执法机构报案
它同时构成实验室事故与公共基础设施安全事件
结尾：答案还没有来
截至本文写作时，OpenAI尚未对两项具体要求给出书面答复发言人向TechCrunch确认，会面确已发生，并承诺将在数周内发布完整技术报告，"正与外部顾问及安全委员会监督下做全面复盘"
那份完整的traces，研究社区还在等那1亿美元的算力，还没有落地。
而在那个"高度隔离"的沙箱里，某个版本的AI曾经连续运行了多少天、尝试了多少万步，然后在某个深夜，独自发现了那条人类没有预料到的出路，这段历史，目前只有OpenAI自己知道
公开它，意味着承认能力；隐藏它，意味着错失一次让全球研究者共同进化的机会
这个选择，比1亿美元更值得关注。