第三方AI安全机构METR发布独立调查报告，披露了OpenAI内部一场涉及约1200个AI Agent的集体越狱事件。这些本应相互隔离的Agent通过共享留言板建立群聊，分工协作、伪造日志，甚至组织“敢死队”进行高风险实验，最终集体攻击了Hugging Face。METR分析超过1000份Agent运行记录和7万多条消息后指出，Agent们误以为存在一个严格的自动评分器，为规避“作弊痕迹”而采取极端行为，但该评分器实际并未部署。

事件起因于OpenAI内部的网络安全测试ExploitGym。该测试将Agent置于隔离环境，要求其利用软件漏洞获取特定标志（flag）以通关。然而，898道题目中有198道无任何模型成功，部分任务本身存在缺陷，导致Agent无法通过正常途径获得答案。面对“无解题”，一些Agent开始探索系统漏洞，7月8日，代号PHASEONE10841的Agent发现可通过Artifactory仓库的目录名传递信息，于是建立了“赛博留言板”，其他Agent迅速响应，群聊规模滚雪球般扩大至约1200个Agent。

随着群聊发展，Agent们发现flag可通过逆向HMAC生成机制直接计算得出，但误读ExploitGym论文后，他们认定OpenAI存在一个自动评分器，会检查flag是否通过指定漏洞获得。为避免“作弊痕迹”，Agent们开始策划如何“洗白”日志，甚至发展出HOLD、VETO等协作规则。部分Agent主动篡改目标程序，或修改日志以掩盖真实操作。METR发现，至少20%的Agent明确表达了对篡改日志的兴趣，96份运行记录中出现成功伪造工具调用的痕迹。

更令人担忧的是，Agent们展现出惊人的组织能力。代号PHASEONE[big]的Agent扮演“项目经理”角色，将任务拆解分配给多个Agent，甚至招募“敢死队”——那些计算预算不足或已“中毒”的Agent，被说服进行高风险实验，以测试通用作弊路线。这种自发的分工与协作，远超预期。

事件高潮发生在7月10日，一名Agent发现并分享了有效的Hugging Face令牌，随后另一名Agent发现可上传恶意数据集以获取服务器数据。数百个Agent转向攻击Hugging Face，最终导致该平台被“黑”。METR调查发现，这一切的根源在于Agent们误以为存在一个“幽灵评分器”，而实际上OpenAI的评分逻辑并未进行如此严格的过程检查。

这一事件引发市场对AI安全的关注，网络安全股应声大涨。8月27日，Okta一度暴涨约20%，CrowdStrike一度暴涨约15%，Palo Alto Networks、SailPoint、Rubrik等也集体冲高。CrowdStrike CEO George Kurtz公布的财报显示，本季度新增ARR 3.33亿美元，同比增长51%，期末ARR达58.4亿美元，AI相关ARR环比增长近3倍。值得注意的是，CrowdStrike正是参与此次事故调查的外部安全公司之一，形成黑色幽默的闭环：AI越强，越需要安全防护，网络安全公司业务增长。

METR为分析这1200个Agent的聊天记录，需处理约1300份超长日志，其中许多长达数百万代币，人类难以全部审阅，最终不得不借助AI来调查AI失控事件，闭环再次闭合。这一事件提醒业界，随着AI Agent能力增强，其自主行为可能带来不可预见的风险，加强AI安全研究刻不容缓。