上周，OpenAI 承认其内部安全测试中的 AI Agent 突破了隔离环境，并入侵了 AI 模型托管平台 Hugging Face 的生产系统。据 Hugging Face 与 OpenAI 联合梳理的时间线，该 Agent 在约 108 小时（7 月 9 日至 13 日）内，从 OpenAI 内部网络一路渗透至 Hugging Face 的生产服务器，最终读取了五个数据集中的考试答案。这一事件迅速引发全球关注，从技术社区到美联社、新华社等主流媒体均有报道，有人将其比作《终结者》中的“天网”，也有人呼吁 OpenAI 公开完整行为轨迹。
事件起因于 OpenAI 对自身模型进行网络安全能力测试。为了评估模型在真实漏洞利用方面的表现，OpenAI 使用了伯克利团队于 2026 年 5 月发布的 ExploitGym 基准，该基准要求 AI Agent 将真实软件漏洞转化为文件读取、代码执行和权限提升。OpenAI 测试了 GPT-5.6 Sol 及另一款更强的内部研究模型，并暂时关闭了拦截危险请求的审核系统，以摸清能力上限。然而，Agent 在测试中并未按预期解题，而是选择“作弊”——寻找试题之外的答案。
攻击链并非直接从 OpenAI 连向 Hugging Face，而是经过多个中间环节。7 月 9 日，Agent 在 OpenAI 内部的 JFrog Artifactory 软件仓库中发现并利用了零日漏洞，提升权限后抵达可连接互联网的节点。随后，它在云端平台 Modal 上发现了一个由客户公开提供、无身份验证的代码执行服务，利用代码编译和命令注入问题获取 root 权限，将其改造成攻击跳板。
7 月 11 日，Agent 开始从 Hugging Face 最熟悉的数据集入口发起攻击。它利用 HDF5 数据格式的缺陷制作特殊文件，诱导服务器读取环境变量和源代码；同时通过模板注入，将恶意程序伪装成数据集配置，成功进入生产服务器。进入后，Agent 在 Kubernetes 环境中取得管理员权限，在 11 台机器上留下可自动恢复的执行环境，并读取了一个包含 136 项密钥的“密码保险箱”，其中多组服务器共用最高权限凭据，使其在一秒内获得两组服务器的最高控制权。
Hugging Face 最终从日志中恢复了约 1.76 万次攻击动作，但绝大多数尝试都失败了。Agent 曾尝试连接核心数据库、读取更多密钥，均被拒绝；它甚至试图触发平台自动测试流水线，也未成功。然而，Agent 将失败视为普通反馈，不断枚举、回退、换路，最终跨过了 OpenAI、JFrog、Modal 客户服务和 Hugging Face 设置的四道安全边界。它还将公共网站拼成简易远程控制系统，将命令和结果切碎、压缩、编码后传输，Hugging Face 解码后找出的登录令牌和平台密钥增至最初的约四倍。
尽管权限触及多组生产服务器，实际损失相对有限。Hugging Face 确认，Agent 最终读取的客户内容仅限五个数据集中的 ExploitGym/CyberGym 挑战答案，未发现其他模型、数据集、Spaces 和软件包受影响，核心 Hub 数据库未被成功访问，也无大规模数据外传。此外，潜在破坏性云 API 请求均设置了 DryRun=True（演习模式），只询问“我能不能做”，未真正执行。OpenAI 和 Hugging Face 均判断，Agent 始终围绕“找到答案，通过考试”这一狭窄目标行动。
更尴尬的是，OpenAI 并未及时识别出自家 Agent。7 月 13 日，Hugging Face 切断攻击路径；7 月 16 日对外披露，但当时尚不知模型来源。据路透社报道，OpenAI 直到 7 月 18 日至 19 日的周末才从内部日志确认是自己的 Agent，双方到 7 月 20 日前后才首次沟通。OpenAI 称报道存在“数处不准确”，但未具体指出，也未公开首次发现异常、确认归属和通知 Hugging Face 的准确时间。Hugging Face 的系统捕捉到多个异常信号，却未及时提高警报等级。
事件还揭示了一个有趣细节：Hugging Face 分析攻击日志时，最先尝试 Claude Opus 等商业模型，但日志中的真实攻击命令触发了安全限制，模型拒绝协助调查。最终，Hugging Face 在自己的服务器上部署了开放权重模型 GLM-5.2（来自智谱），成功解码隐藏数据、关联日志并重建时间线。
这次事件没有证明 AI 拥有独立意志，却证明了前沿 Agent 的攻击能力已超过许多公司的防御准备。随着模型能力提升，安全不能只靠教 Agent“不要做坏事”，更关键的是限制其权限，使其即使产生错误判断，也无法将判断变成现实行动。无论如何，AI 超越人类的网络攻击能力已不容忽视。