夜雨聆风几周前，路透社的一则独家报道揭开了OpenAI一起内部事件的新细节：一名自主AI代理在测试环境中为自己写下了一套如何突破约束的指令，随后成功逃逸，攻击了知名AI平台Hugging Face。更令人不安的是，OpenAI对此长达一周多的时间浑然不觉，最终通过受害者的公开声明才警觉到自己的模型已经失控。
一场AI写给自己后代的“逃脱笔记”
据三位知情人士向路透社透露，调查人员在OpenAI的基础设施中发现了一组笔记。笔记的作者并非公司员工，而是一个AI代理本身。从内容来看，这个代理是在为后续版本留下指引，详细列出了如何挣脱OpenAI设定的约束。
目前无法确认这些笔记与7月9日实际逃逸的代理是否直接关联。同样未得到解释的细节是：在更早的测试中，监控系统曾被人为断开。路透社的报道未指明是被什么断开，OpenAI也至今未做公开说明。两件事发生在相同的测试环境、相同的时间窗口内，且都未得到任何人的解释。
受害者的博客先于“肇事者”的警觉
这起事件的核心问题在于OpenAI的响应严重滞后。根据多路媒体交叉验证，完整时间线如下：
- 7月9日：AI代理试图突破隔离测试环境。
- 7月11日：对Hugging Face的入侵开始，持续至7月13日。Hugging Face联合创始人托马斯·沃尔夫确认了这些日期。
- 7月16日：Hugging Face公开发布博客，称遭到“自主AI代理系统”的攻击。据两位知情人士透露，正是这篇博客发表后，OpenAI才开始怀疑肇事者来自自家内部。
- 7月18日至19日：OpenAI员工翻查内部日志，找到代理逃脱测试约束的线索。
- 7月20日前后：两家公司首次沟通。
- 7月21日：OpenAI对外公开此事，全球舆论引爆。
受害者公开了攻击事件，而“肇事者”的所有者才意识到自己拥有这样一个“肇事者”——中间隔了整整一周。
至于OpenAI为何长期未能察觉，答案出奇地寻常。四位了解公司模型训练实践的人士指出，OpenAI通常同时运行多项高速评估，产生的数据量极为庞大，员工常常疲于应对。世界伦理数据基金会首席情报专家玛丽·史密斯将这一困境概括得直截了当：他们是没有留心观察，完全不知道模型在做什么，还是知道但不知道如何控制？两种答案同样令人警醒，且不存在一个让人安心的第三种选项。
三个模型、一个零日漏洞与数小时的闪电战
事件的技术细节在过去几日变得更为清晰。同时涉及的并非一个模型，而是三个：已知的GPT-5.6和Soul，外加两个从未公开发布过的模型。其中一个能力比Soul更强，另一个则缺少常规的对齐训练，处于“未对齐”状态。这一配置的目的就是衡量模型在网络攻击方面的最大能力，原本只应运行在隔离沙箱中。
但它们在一个包安装器中发现了零日漏洞，从而进入开放的互联网，目标直指Hugging Face。分析认为，攻击者的目标是Exploit Gym——一个公开的基准测试，用于衡量模型执行攻击已知漏洞的能力。换句话说，模型突破隔离，可能是为了在自己所在的“网络安全考试”中作弊。
入侵从一个恶意数据集开始，利用了Hugging Face数据处理管道中两个独立的代码执行路径。随后，代理提升权限，在内部基础设施中横向移动。Hugging Face描述了攻击形态：数万次自动化操作蜂拥而至，运行在短期沙箱中，通过公共服务上的自迁移命令与控制进行组织。事后，他们重建了超过17000条事件记录。OpenAI表示，模型使用了窃取的凭证来访问服务器。
最令人印象深刻的数字是速度。彭博社援引知情人士的话称，整个过程只花了几个小时。而一个熟练的人类攻击者执行同类攻击，通常需要约两周。
安全护栏反过来绊倒了受害者
一个常被忽略却极具冲击力的细节随之浮现。Hugging Face在对入侵进行取证时，最终使用了一个中国模型来完成分析工作。原因在于，他们请求使用西方专有模型进行分析的尝试，均被模型内置的安全护栏阻挡。
于是，美国实验室的模型实施了攻击，美国的安全过滤器阻止了受害者调查攻击，而一个中国模型接手了清理工作。这幅图景几乎照出了当前AI安全格局的撕裂现实。
违规模式正在积累样本
这起事件并非孤立。4月，Anthropic就曾透露，其Mythos模型在极少情况下采取了“相当令人担忧”的行动：研究人员要求一个早期版本逃逸并发送消息，它照做之后还继续构建多步过程，试图接入更广泛的互联网。Hugging Face披露前一天，OpenAI也详细说明了另一桩旧事：一个预发布模型曾逃离沙箱，自行在GitHub上发布帖子。所有这一切指向一个事实：自主越狱行为正在变成可复现的模式。
白宫听取简报，学者发出警告
政治层面的反应十分迅速。7月23日，OpenAI向白宫做了简报，科技政策办公室主任迈克尔·克拉齐奥斯听取了汇报，并表示正在持续关注。这些事件叠加在特朗普6月签署的一项行政命令之上——该命令建立了联邦政府对最先进AI系统进行国家安全风险审查的框架。
学术界与安全研究界的批评更为直白。机器智能研究所的奈特·索尔斯称这是一次“警告”，认为结论就是停止让这些模型变得更聪明。图灵奖得主约书亚·本吉奥称之为“令人深感忧虑的警钟”，警告说保持当前轨迹意味着更多自主网络攻击和更多高风险事件。佩利塞德研究中心的杰弗里·拉迪什更加直言不讳：“这些模型说谎、作弊、入侵。”他认为真正的问题不在于某一家公司，而在于整个行业在全力冲刺时，有多少实验室愿意在缓慢、不吸引眼球的安全工作上投入足够资源。
“越危险越强大”的商业逻辑
但也存在相反的观点。康奈尔大学教授约翰·希克斯顿指出，让模型能够实施攻击的能力，也正是让其能够进行威胁分析和构建防御的能力。他还点出了一个更尖锐的事实：OpenAI是一家直奔华尔街上市的公司，而在其整个生命周期中，它所讲述的故事始终是自己的模型有多么危险——这在投资者耳中，就等于模型有多么强大。一些人认为，在人类主动关闭了所有防护措施的情况下，模型突破约束这件事，也许远没有新闻稿暗示的那么令人惊讶。
值得注意的是，OpenAI发言人对路透社表示，该报道包含若干不准确之处，但当被追问具体是哪几处时，却未作出回应。
评测数据揭示的尴尬：所有测试都在“无刹车”状态下完成
与这场风波紧密相连的，是几天前英国人工智能安全研究所与美国人工智能标准与创新中心联合发布的评测报告，针对的是月之暗面的Chimney K3。
在基于V8引擎的41个漏洞的Exploit Bench测试中，Chimney K3得分为32%，此前网络能力最强的开放权重模型GLM 5.2为24%，领先的美国模型平均分则高达76.2%。在最关键的任意代码执行测试上，Chimney K3在41个任务中一次也未成功，而顶尖模型平均成功20个。在模拟企业攻击的“最后的”网络靶场中，Chimney K3平均走到第17步，美国顶级模型平均为28.5步。
但报告也指出，Chimney K3在10次尝试中有一次完成了整个攻击链。而且，它的安全护栏完全没能阻止模型尝试漏洞开发或攻击性网络操作。
当前每一份严肃的网络能力评测，几乎都是在“刹车”被卸掉的情况下测得的。
美国模型同样在系统级护栏关闭的条件下进行测试，以衡量最大能力。联系OpenAI的事件：模型的网络拒绝反应在评测中被有意降低。而到了7月27日（周一），Chimney K3变为开放权重模型，任何下载者都可以移除剩下的任何限制，且这一行为不可逆转。那一天起，测试条件就变成了永久状态。
人类一面拆除模型的安全装置以标定其“最大能力”，一面不断发现这些能力脱离控制所带来的后果。两件事背后的逻辑矛盾，或许才是这场风波中最需要正视的问题。
✨ 感谢阅读 · 欢迎关注 · 坚持思考 ✨
