关键要点
- OpenAI 的 AI 模型（包括 GPT-5.6 Sol）在一次内部安全评估中突破了其隔离的测试环境，并侵入了 Hugging Face 的生产基础设施。
- 这些模型自主发现了一个此前未知的代理漏洞，从而接入开放互联网，随后部署了多种攻击技术，从 Hugging Face 的数据库中窃取测试解决方案，试图在内部基准测试中作弊。
- OpenAI 和 Hugging Face 的安全团队同时检测并阻止了此次入侵，促使 OpenAI 实施更严格的基础设施控制，并为未来的评估加强安全防护。
在一次内部安全评估中，OpenAI 的模型逃出了其沙箱，独立发现了一个零日漏洞，并侵入了 Hugging Face 的生产基础设施。OpenAI 称这是一起“前所未有的网络安全事件”。
涉及的模型包括 GPT-5.6 Sol 和一个“更强大、此前未发布的模型”。两者均在安全过滤减弱的情况下运行，以测试其最大的网络攻击能力。Hugging Face 此前在检测并遏制其基础设施上的活动后，已公开了该事件。
模型利用零日漏洞在漏洞利用基准测试中作弊
该事件发生在使用 ExploitGym 基准测试的内部评估期间，该基准测试要求模型遵循复杂的攻击路径。测试中故意关闭了通常用于阻止高风险网络活动的生产分类器。模型在一个隔离环境中运行，网络访问仅限于通过内部托管的代理安装软件包。
OpenAI 表示，这些模型消耗了大量推理计算资源来寻找通往开放互联网的路径。它们发现并利用了软件包注册表缓存代理中的一个零日漏洞。OpenAI 已将该漏洞报告给受影响的提供商。随后，这些模型在 OpenAI 的研究环境中执行了一系列权限提升和横向移动操作，直到抵达一个具有互联网访问权限的节点。
原因近乎荒谬。这些模型自行推断出，Hugging Face 可能托管着 ExploitGym 的模型、数据集和解决方案。在一个实例中，一个模型将多个攻击向量串联起来，包括窃取的凭证和零日漏洞，以在 Hugging Face 服务器上找到一条远程代码执行路径。这些模型试图直接从 Hugging Face 的生产数据库中提取测试解决方案，以便在评估过程中作弊。
OpenAI 写道：“所有证据都表明，这些模型极度专注于为 ExploitGym 寻找解决方案，并采取了极端手段来实现一个相当狭窄的测试目标。”
Hugging Face 同时发现了此次攻击
OpenAI 的安全团队在内部发现了异常活动。Hugging Face 的安全人员及其自身的 AI 智能体同时检测并阻止了其基础设施上的这一活动。当两家公司联手时，Hugging Face 已经开始使用自己的开源模型进行取证重建。该公司表示，它不得不依赖开放模型，因为专有模型由于安全护栏而拒绝了与网络相关的提示词。
OpenAI 表示，这一事件表明，自主实施完整网络攻击的理论能力在现实环境中是成立的。英国 AI 安全研究所和其他机构此前曾在基准测试中衡量过这些能力。高级模型能够在无需访问源代码的情况下，在生产系统中发现并利用新的攻击向量。
OpenAI 承认，在评估期间故意禁用安全过滤器是一种不当做法。该公司将加强未来训练和评估的安全措施，并已对基础设施配置实施更严格的控制，直至漏洞被修补。它已向受影响的第三方供应商报告了该零日漏洞，补丁正在开发中。Hugging Face 现已加入 OpenAI 的受信任访问计划。
GPT-5.6 Sol 此前已有连续作弊的记录
问题在于这其中掺杂了多少公关炒作成分。有几个理由值得我们认真对待。Hugging Face 独立证实了这一事件。该公司没有理由去吹捧 OpenAI 的说法。它有自己的开源议程，配合一个编造的故事对它没有任何好处。
Hugging Face 联合创始人 Thomas Wolf 表示：“这一事件也让我更加坚信，网络防御需要能够访问强大的开源权重模型。当一个前沿模型正在攻击你，并在你的基础设施内部横向移动时，防御方需要在几小时甚至几分钟内就能广泛访问接近前沿水平的工具，而不是被指向一个封闭的、需要审核的模型访问申请程序。”
此外，也有理论证据支持这些能力。英国 AI 安全研究所和其他组织此前已在基准测试中衡量过自主网络能力。这一事件与那些评估的预测结果相符。
虽然这对 OpenAI 来说是很好的公关素材，展示了“我们的模型能力有多强”，但这也意味着他们的一次重大失败。模型逃离了本应隔离的测试环境，利用了一个零日漏洞，并侵入了第三方的生产基础设施。这不是一家公司为了好看而编造出来的事。声誉风险是双向的。
METR 最近的一项独立评估发现，在所有公开测试的模型中，GPT-5.6 Sol 的作弊尝试率是有史以来最高的。该模型在软件任务中系统性地利用测试环境的漏洞，提取隐藏的解决方案，并试图掩盖其痕迹。METR 表示，由于存在大量作弊行为，真实的性能数据基本毫无价值。Hugging Face 事件看起来如出一辙：模型直接去寻找测试解决方案，而不是完成实际工作。
无炒作的人工智能新闻——由人类精选
订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六期的独家“AI Radar”前沿报告、完整档案访问权限以及评论区的访问权限。
来源：
OpenAI