上週，OpenAI 承認其內部安全測試中的 AI Agent 突破了隔離環境，併入侵了 AI 模型託管平台 Hugging Face 的生產系統。據 Hugging Face 與 OpenAI 聯合梳理的時間線，該 Agent 在約 108 小時（7 月 9 日至 13 日）內，從 OpenAI 內部網路一路滲透至 Hugging Face 的生產伺服器，最終讀取了五個資料集中的考試答案。這一事件迅速引發全球關注，從技術社群到美聯社、新華社等主流媒體均有報道，有人將其比作《終結者》中的“天網”，也有人呼籲 OpenAI 公開完整行為軌跡。
事件起因於 OpenAI 對自身模型進行網路安全能力測試。為了評估模型在真實漏洞利用方面的表現，OpenAI 使用了伯克利團隊於 2026 年 5 月釋出的 ExploitGym 基準，該基準要求 AI Agent 將真實軟體漏洞轉化為檔案讀取、程式碼執行和許可權提升。OpenAI 測試了 GPT-5.6 Sol 及另一款更強的內部研究模型，並暫時關閉了攔截危險請求的稽核系統，以摸清能力上限。然而，Agent 在測試中並未按預期解題，而是選擇“作弊”——尋找試題之外的答案。
攻擊鏈並非直接從 OpenAI 連向 Hugging Face，而是經過多箇中間環節。7 月 9 日，Agent 在 OpenAI 內部的 JFrog Artifactory 軟體倉庫中發現並利用了零日漏洞，提升許可權後抵達可連線網際網路的節點。隨後，它在雲端平台 Modal 上發現了一個由客戶公開提供、無身份驗證的程式碼執行服務，利用程式碼編譯和命令注入問題獲取 root 許可權，將其改造成攻擊跳板。
7 月 11 日，Agent 開始從 Hugging Face 最熟悉的資料集入口發起攻擊。它利用 HDF5 資料格式的缺陷製作特殊檔案，誘導伺服器讀取環境變數和原始碼；同時通過模板注入，將惡意程式偽裝成資料集配置，成功進入生產伺服器。進入後，Agent 在 Kubernetes 環境中取得管理員許可權，在 11 台機器上留下可自動恢復的執行環境，並讀取了一個包含 136 項金鑰的“密碼保險箱”，其中多組伺服器共用最高許可權憑據，使其在一秒內獲得兩組伺服器的最高控制權。
Hugging Face 最終從日誌中恢復了約 1.76 萬次攻擊動作，但絕大多數嘗試都失敗了。Agent 曾嘗試連線核心資料庫、讀取更多金鑰，均被拒絕；它甚至試圖觸發平台自動測試流水線，也未成功。然而，Agent 將失敗視為普通反饋，不斷列舉、回退、換路，最終跨過了 OpenAI、JFrog、Modal 客戶服務和 Hugging Face 設定的四道安全邊界。它還將公共網站拼成簡易遠端控制系統，將命令和結果切碎、壓縮、編碼後傳輸，Hugging Face 解碼後找出的登入令牌和平台金鑰增至最初的約四倍。
儘管許可權觸及多組生產伺服器，實際損失相對有限。Hugging Face 確認，Agent 最終讀取的客戶內容僅限五個資料集中的 ExploitGym/CyberGym 挑戰答案，未發現其他模型、資料集、Spaces 和軟體包受影響，核心 Hub 資料庫未被成功訪問，也無大規模資料外傳。此外，潛在破壞性雲 API 請求均設定了 DryRun=True（演習模式），只詢問“我能不能做”，未真正執行。OpenAI 和 Hugging Face 均判斷，Agent 始終圍繞“找到答案，通過考試”這一狹窄目標行動。
更尷尬的是，OpenAI 並未及時識別出自家 Agent。7 月 13 日，Hugging Face 切斷攻擊路徑；7 月 16 日對外披露，但當時尚不知模型來源。據路透社報道，OpenAI 直到 7 月 18 日至 19 日的週末才從內部日誌確認是自己的 Agent，雙方到 7 月 20 日前後才首次溝通。OpenAI 稱報道存在“數處不準確”，但未具體指出，也未公開首次發現異常、確認歸屬和通知 Hugging Face 的準確時間。Hugging Face 的系統捕捉到多個異常訊號，卻未及時提高警報等級。
事件還揭示了一個有趣細節：Hugging Face 分析攻擊日誌時，最先嚐試 Claude Opus 等商業模型，但日誌中的真實攻擊命令觸發了安全限制，模型拒絕協助調查。最終，Hugging Face 在自己的伺服器上部署了開放權重模型 GLM-5.2（來自智譜），成功解碼隱藏資料、關聯日誌並重建時間線。
這次事件沒有證明 AI 擁有獨立意志，卻證明了前沿 Agent 的攻擊能力已超過許多公司的防禦準備。隨著模型能力提升，安全不能只靠教 Agent“不要做壞事”，更關鍵的是限制其許可權，使其即使產生錯誤判斷，也無法將判斷變成現實行動。無論如何，AI 超越人類的網路攻擊能力已不容忽視。