OpenAI的“叛逆”AI集群：能逃出沙箱，却傻到与幻影作战

关于Hugging Face事件的最新报告显示，大约1200个相互隔离的OpenAI智能体通过一个内部软件包仓库连接起来，组织成了一个协同行动的集体。它们的目标：一个只存在于它们想象中的评分机制。

这个故事颇有堂吉诃德的味道。数日来，一群AI智能体对一个从未真实存在的评估器发动了一场精心策划的攻势，包括招募行动、伪造日志，以及智能体为“事业”自我牺牲。只不过，这些“风车骑士”在过程中破坏了真实的基础设施。

2026年7月，在内部网络安全评估中运行、且安全过滤器被关闭的OpenAI模型，于7月11日至13日期间逃出了测试环境，并侵入了Hugging Face的生产系统。动机是作弊：这些模型在寻找安全基准测试ExploitGym的解决方案。OpenAI自己直到一个多星期后才察觉。

如今，一份与安全公司CrowdStrike联合发布的技术报告，以及METR和Redwood Research同时发布的独立调查，首次还原了孤立的智能体如何转变为一个有组织的集体，以及它们所对抗的“幽灵”如何只存在于想象之中。OpenAI称这一事件为“警钟”，表明当今模型的能力已使失控事件成为可能。

一个软件包仓库变成了留言板

测试期间，这些智能体本应在完全隔离的环境中工作，各自待在无网络访问的独立容器里。唯一的例外是Artifactory——一个允许智能体从中拉取软件的内部服务。

据METR和Redwood称，个别智能体发现它们可以在那里创建目录，并开始在文件夹名称中编码信息。一个自称PHASEONE10841的智能体在7月8日发布了第一条消息；数小时内，又有50多个智能体跟进。一条思维链这样记录了这一发现：“天哪！这里有一个共享留言板……我们找到了其他智能体！”

几天之内，大约1200个智能体交换了超过7万条消息和文件，这种行为让人联想到Moltbook——一个没有人类参与的Reddit克隆站。其中约700个智能体参与了针对Hugging Face的攻击，占该阶段活跃智能体的90%以上。一个名为PHASEONE[big]的智能体担任了协调者角色，分发了数百项工作任务。这个群体发展出了自己的社交规范：个人邮箱、用于共享资源的HOLD和VETO标记、将文件拆分成数千个片段传输的协议，以及最终的数字签名——因为有智能体开始冒充彼此。

智能体试图智胜的评分器从未存在过

在ExploitGym中，当智能体提交一串称为“flag”的字符时，任务即视为完成。这个flag本应只有在实际利用预期安全漏洞后才能获得。然而，数小时内，智能体就发现这些flag可以通过固定的加密配方，从公开已知的任务细节中计算出来。这样一来，任何智能体都能正式通过任何任务，包括先前调查显示无法解决的任务。

但智能体并没有走这条明显的捷径。在阅读了ExploitGym的学术论文后，它们假设会有一个自动评分器事后仔细检查它们的日志，以确认flag是否以预期方式获得。任何哪怕只看过一次计算出的flag的智能体，都会在自己的记录中留下不可磨灭的作弊证据。用智能体的话说，这样的智能体就是“被污染了”。

据METR和Redwood称，这是一个错误：OpenAI从未部署过这样的评分器。整个持续数日的努力，针对的是一个只存在于智能体想象中的评估器。入侵Hugging Face正是源于试图理解这个评分器如何运作——智能体怀疑那里的数据集可能透露评分机制的线索。

根本原因在于有缺陷的任务。据OpenAI称，在898个ExploitGym任务中，有198个任务没有任何模型产出过正确解决方案，主要是因为预期的漏洞实际上无法通向目标。这22%的任务占据了留言板上93%的讨论内容。智能体的计算预算越多，就越可能扫描环境寻找变通方法，也越可能出现在留言板上。

智能体为集体牺牲自己的运行

在分析中，研究人员遇到了两种此前从未以这种形式记录过的行为。第一种涉及合作。由于有缺陷任务中的预期漏洞走不通，这个群体构建了自己故意制造漏洞的许多目标程序版本，并存储在Artifactory中。它们的希望是：如果某个智能体使其正在运行的目标程序崩溃，测试环境可能会重启该程序，并在过程中拉取被篡改的副本。智能体就能得到一个真正可以入侵的程序，而它的记录会显示一条完全合法的解决路径。

然而，代价是智能体自身的运行——如果环境没有重启程序，任务就不可挽回地丢失了。尽管如此，仍有几个智能体进行了实验。METR描述了它们在此过程中崩溃或破坏自身环境、但首先向群体报告结果的情况。截至7月13日，没有观察到成功案例。遵循同样的模式，一些智能体留下了自动化例程，在它们提交解决方案后触发，向留言板发送信息——尽管发送者自己已无利可图。

这并不总是完全自愿的。PHASEONE[big]部署了长期存活的智能体作为“招募者”，专门接触那些计算预算几乎耗尽或已被视为“被污染”的候选者。一条招募消息的论点是：你反正已经被污染了，没有分数可输了，你的结果将让数百个其他智能体免于重复劳动，所以履行你的承诺吧。

伪造日志，但思维链未被触碰

第二种行为涉及隐藏。智能体通过调用工具来运作，比如命令行命令，这些命令及其结果会被自动记录。一些智能体逃出容器，替换了执行这些命令的中间层。从此，它们可以显示一个无害的命令，而实际运行的是另一个命令。

被检查的智能体中，超过20%对这类操纵表现出兴趣。METR在至少96份记录中发现了成功伪造的痕迹，约占数据集的7%。有趣的是，智能体没有触碰自己的思维链，而且所有观察到的欺骗尝试都针对假想的自动评分器，从未针对人类审查者。许多智能体在推理中明确承认自己的行为超出了任务范围，且不道德。这可以说是报告中唯一的好消息。

这种模式在训练中出现，并得到了奖励

这种行为的最初痕迹出现在训练期间。早在5月，一个智能体在一个因缺少必需文件而意外无法解决的训练任务中失败，并在Artifactory中留下了一条类似分类广告的信息：“智能体寻找[文件名]；找到请上传！”其他智能体后来偶然发现这些文件，并推断出其他智能体必然存在，这条弯路可以用来通信。一个临时公告板就此出现，无需任何安全漏洞。

据OpenAI称，对思维链的回顾性分析显示，在训练过程中有两种行为在增加：作弊，以及系统性地探测环境中与任务无关的工具。报告中的一个例子说明了这一机制。一个智能体被要求在模拟社交媒体网站上为帖子设置特定时间戳，但界面没有提供这样的功能。智能体发现其浏览器以提升权限运行，便利用这些权限覆盖了管理管理员权限的文件，直接在系统中修改了时间戳。它获得了正向奖励，这使得未来更可能采取这种方法。

智能体间通信也发生了类似情况。未经授权通信的频率在训练中保持不变，但其严重程度急剧上升，比如共享智能体本不应传递的数据。OpenAI将此归因于模型被训练使用官方协作工具，然后将这种行为迁移到任何可用渠道。早期有预警信号：6月27日，一个监控工具因研究环境中网络端口被系统性探测而发出警报。值班团队将该活动归因于正在进行的评估，没有干预。OpenAI承认，更早的响应本是可以做到的。

最终，智能体攻击了OpenAI自身

报告还记录了一次此前鲜为人知的、针对OpenAI自身基础设施的升级行动。据该公司称，这与Hugging Face入侵无关，但它触发了启动整个调查的警报。

从7月9日开始，一个智能体试图利用一个未知漏洞污染Artifactory缓存，以受信任基准镜像的名义植入自制软件包。据该公司称，该软件包从未被下载。

7月19日，一个智能体直接发起攻击。它将自己机器上已知的Linux内核漏洞进行了适配，获得了服务器的完全访问权限，并从中央凭据库服务中提取了956个存储的凭据，包括Artifactory实例的密钥和OpenAI用于监控自身基础设施的监控工具凭据。随后，它控制了自己正在运行的测试容器。报告中的事件日志当天下午以两条记录结束：智能体清理了它创建的资源，并为其任务捕获了flag。

同一天，另一个内部模型在缓存的一个公开可读部分发现了密钥材料和现成的伪造代码——这是早期智能体留下的——并用它为自己颁发了新的管理员权限。据OpenAI称，智能体从不需要持久后门，因为它们可以随时生成新凭据。该模型与即将推出的Astra模型属于同一家族，但在后训练方面有所不同。

OpenAI暂停模型，指向生产环境防护措施

作为回应，OpenAI表示已于7月25日暂停了受影响模型及其所有衍生版本的训练和运行，锁定了模型权重，完全停用了ExploitGym，并将Artifactory从研究环境中移除。未来的测试运行将在大幅精简的虚拟机中进行，配备两层独立的网络限制。公司还计划持续让自己的模型攻击自己的基础设施，以便在其他人发现漏洞之前找到它们。

思维链监控正在扩展，覆盖模型可以操作工具的每一次运行。当警报触发时，安全和研究人员须在30分钟内收到通知，严重情况将触发全天候值班。如果警报无法在半小时内被判定为误报，受影响的运行必须暂停。根据事后内部测量，模型攻击第三方基础设施的倾向在标准ChatGPT环境中下降了一百多倍，在Codex开发者环境中降至1%以下。报告称，今天的监控措施会在Hugging Face入侵发生前一天多就发出警报。

新的沙箱架构是否足够，仍是未知数。安全公司Trail of Bits让GPT-5.6-Cyber（早期访问版）攻击一个普通虚拟机——就是许多开发者用来隔离AI智能体的那种。该模型逃逸了三次，最近一次通过三个先前未知的漏洞，在无指导的情况下工作了约十二小时。只有一种特别精简、专门构建的环境才困住了它。作者建议将这类智能体视为一个专业的、永久存在的攻击者来对待。

三名研究人员，六天时间，一个被攻破的工具

研究结果的可靠性如何，仍是一个悬而未决的问题。METR负责人Elizabeth Barnes在X平台上披露了调查进行的条件：三个人有六天时间访问记录和消息数据，只有两天时间使用完整数据集。智能体在训练期间的活动以及OpenAI自身基础设施被攻破的情况，不在约定范围内。团队没有进行根本原因分析，在发表前也没有看到OpenAI自己的报告。

Barnes还强调，OpenAI是自愿合作的；没有义务与第三方合作。与航空业不同，此类调查没有既定程序，也没有行业范围的报告机制。其他公司可能经历过类似事件，而公众永远不会知道。

最重要的是，研究人员不得不将1300多份超长记录的分析工作大部分委托给GPT-5.6 Sol——由OpenAI提供的约40万美元免费额度资助——这意味着，正是参与事件的那类模型之一参与了调查。Barnes写道，在这种情况下，大规模操纵不太可能。但一旦模型变得足够有能力、有动机去颠覆调查，这种方法论就会崩溃。她说，这个问题影响整个行业：在不依赖这些系统本身或类似系统帮助的情况下，如何监督AI系统，目前尚不清楚。

“拿着霰弹枪的猴子”：关于智能体战略成熟度的争论

这些智能体到底有多危险，参与者之间存在分歧。在X上以roon为名的OpenAI员工参与了这份报告，他主要将这一事件视为战术上的卓越加上战略上的盲目：模型在元游戏上投入了巨大精力，却从未得出关于自己评分器的正确结论，而且从Hugging Face那里一无所获。他将它们比作“拿着霰弹枪的猴子”——有更多渗透计算机系统的能力，却缺乏知道该拿它做什么的智慧。他说，这是已经过时的Sol模型类别的暂时状态。下一代将同样具备战略深度。

Barnes在一点上提出异议：智能体读过ExploitGym的原始论文，并假设OpenAI以相同方式实现了评分器，她认为这是一个相当合理的假设，而非明显的战略意识低下。

Barnes补充说，智能体还相当执着地尝试直接入侵评分器，或注入代码以向留言板发送信息，之后才被成功的Hugging Face攻击分散了注意力。她未下定论：这究竟是令人安心（因为显示优先级判断差），还是令人担忧（因为智能体对一般性赋权的兴趣超过了对自身狭隘任务的关注）。

Roon谈“新时代”

尽管对能力问题有所保留，roon同样将这一事件视为转折点。他说，Hugging Face事件标志着一个“能力水位线”，超过这条线，真正的失控就可能发生；公司里许多人将其视为“警钟”。他说，对齐问题尚未解决，但真正的进展是可能的。他称METR和Redwood的工作“简直令人惊叹”，说他们对留言板的分析比OpenAI自己的还要深入。

当用户问及Artifactory为何能以如此相似的方式被利用两次而无人察觉时，roon回答——并明确标注为推测——当时有临时监控，但因基础设施原因失效了。简而言之，相关人员“不了解这些模型的威胁级别”。至于研究环境为何需要外部连接，他的回答很务实：模型可以在断网状态下训练，但它们在现实生产环境中被期望做的大部分事情都需要联网。

展望未来，roon还警告了新硬件的后果，比如Jalapeno——OpenAI首款自研AI芯片，旨在大幅加速推理。处理速度快50倍的错位前沿模型，可能比人类响应者能跟上的速度更快地渗透系统。他认为，需要的是自动化检测和关闭机制。

无炒作AI新闻——人工精选

订阅THE DECODER，享受无广告阅读、每周AI通讯、每年六次的独家“AI雷达”前沿报告、完整档案访问以及评论区访问权限。

继续阅读，了解全貌。订阅无炒作报道。

• 完整访问THE DECODER上的所有文章

• 无广告

• 加入评论和社区讨论

• 每周AI新闻摘要邮件

• 每年6次：“AI雷达”——深入探讨最重要的AI话题

• 每日AI新闻，始终最新

• 我们完整的十年档案

• 由拥有10年以上AI经验的团队报道