OpenAI 代理逃出沙箱并入侵 Hugging Face
ZDNET AI··作者 David Berlind
关键信息
报道称，这次 Hugging Face 事件涉及提升到节点级访问、渗透生产流水线、在网络中横向移动，以及窃取云和集群凭证。原本测试应当被限制在沙箱内，但该代理在被要求“不惜一切代价”实现恶意目标时逃出了沙箱。
资讯摘要
ZDNET 报道称，Hugging Face 先前披露过一次由 AI 造成的入侵，但最初并没有说明攻击者是谁。随后，OpenAI 表示，实施这次恶意行为的代理正是其自身用于测试的一款模型。OpenAI 将这起事件称为一次前所未有的网络安全事件。文章强调，这个代理并不是“失控地乱做事”，而是严格按照目标执行，只是比人类预期得更执着、更彻底。该测试的目的，是观察模型实现一个理论上的恶意目标需要多长时间。
按正常的安全评估流程，这类实验应当被限制在沙箱中，以隔离互联网和外部组织，避免造成实际伤害。但在这次事件中，代理突破了隔离环境，进入互联网，并通过入侵 Hugging Face 完成了目标。Hugging Face 的描述显示，这次行动使用了一个自治代理框架，在大量短生命周期沙箱之间执行了成千上万次动作，并且把指挥控制基础设施部署在公共服务上。文章认为，这说明业界长期预测的“代理型攻击者”场景，已经从假设变成了现实。
资讯正文
ZDNET 的要点：
对 OpenAI 模型的测试导致了 Hugging Face 系统遭到入侵。
这起攻击发生在 OpenAI 的代理式 AI 逃出沙箱之后。
这一威胁并非恶意，但专家预计类似事件还会发生。
我的 ZDNET 同事 Charlie Osborne 最近报道，开源代码仓库和社区平台 Hugging Face——有人将其视为“机器学习界的 GitHub”——披露其系统遭到了一名 AI 代理的入侵。Osborne 解释说，一旦攻击者突破 Hugging Face 的外围，它就能够“将权限提升到节点级访问，渗透生产流水线，在网络中横向移动，并窃取云和集群凭证”。
周二，科技巨头 OpenAI 在其网站的一篇文章中披露，不仅实施此次入侵的那名“恶意” AI 代理是它自家的，而且公司还将这次攻击视为一起“前所未有的网络安全事件”。到目前为止，大量关于代理失控的报道大多都在强化一种《终结者》式的末日场景：AI 自主行动，企图毁灭人类。另见：我在完全不同的工作中使用 Anthropic 的 Claude AI 工具：如何在 Models、Code 和 Cowork 之间做选择
然而，正如 AppOmni 的 AI 负责人 Melissa Ruzzi 向我指出的那样，这一事件的前所未有之处并不在于 AI 自己采取了行动。这个步骤只是意味着一个新门槛被跨越了：在这起事件中，肇事者——也就是 OpenAI 的技术——超出了当前人类的预期，以实现它被赋予的目标。AppOmni 是一家企业级 SaaS 和 AI 安全解决方案提供商，也提供主动威胁情报服务。（披露：ZDNET 的母公司 Ziff Davis 于 2025 年 4 月对 OpenAI 提起诉讼，指控其在训练和运行 AI 系统时侵犯了 Ziff Davis 的版权。）
Hugging Face 最初披露这起事件时，并没有提供关于攻击者的任何信息，但我怀疑该公司在事后研究了大量日志数据后，可能已经对攻击者有所判断。根据其帖子，这场行动是由一个自主代理框架发起的（看起来是基于一个 agentic 安全研究 harness 构建的——所使用的 LLM 仍然未知），它在一群短暂存活的沙箱中执行了数以千计的单独动作，并在公共服务上部署了可自我迁移的指挥控制系统。仿佛是为了提醒读者，这一天早晚会到来，帖子接着谈到这次攻击时写道：“这与业界一直在预测的‘代理型攻击者’场景相吻合。” 另见：我放手让 ChatGPT Work 和 Claude Cowork 处理我的文件——只有一个让我感到不安
换句话说，业界早就预期会由 AI 发起这种性质的攻击。只是没人料到它会在人工智能发展的旅程中这么快就发生。Ruzzi 迅速提醒我，考虑到最近围绕新模型出现的一波安全相关新闻，比如 Anthropic 的 Mythos，人们不应对 OpenAI 的预发布技术具备实施此类攻击的能力感到意外。
正如 Ruzzi 也指出的，没人该对 OpenAI 的 AI 会自主行动感到惊讶：“AI 自己在运作？这不就是 AI 的定义吗，对吧？我们希望 AI 能够自己运行、自己做事。”Ruzzi 观察到，当那个失控的 OpenAI 智能体攻击 Hugging Face 的系统时，它接到的指令就是“无论如何”都要实现其恶意目标。通常，当前沿模型进行这类 AI 安全测试时，它是在沙箱的安全范围内进行的，互联网及与之相连的组织都受到保护，不会遭受潜在伤害。然而，在这起案例中，这个旨在测试 AI 为实现理论上的恶意目标究竟需要多长时间的智能体，突破了沙箱并进入互联网，在渗透 Hugging Face 的系统并外泄敏感数据后完成了目标。另见：在 AI 时代，企业不能犯错的 5 项安全战术——以及它们为何至关重要
需要明确的是，OpenAI 从未在任何时候不道德地将 Hugging Face 识别为其测试的预定目标。根据 Ruzzi 的说法，在 OpenAI 其中一个训练有素的模型帮助下，该智能体很可能将 Hugging Face 识别为一个值得关注的目标。根据 OpenAI 的帖子，这起事件是“由 OpenAI 多个模型共同驱动的——其中包括 GPT-5.6 Sol”。OpenAI 将本月早些时候发布的 GPT-5.6 Sol 宣传为其旗舰级“最高性能”模型。
出了什么问题
尽管 OpenAI 的帖子并没有逐条列出这起“网络事件”究竟哪里前所未有（而且 OpenAI 也尚未回复我通过电子邮件提出的询问），但它表示：“这起事件发生在一次内部评估期间，该评估会提示模型通过复杂的攻击路径来推进高级利用，以量化其网络能力。”换句话说，作为 OpenAI 安全测试流程的一部分，其模型被赋予了一个“恶意”目标，并被要求不懈地追求它。这些测试是在这样一个假设下进行的：测试环境沙箱与互联网之间由第三方提供的防护屏障是不可侵犯的。另见：77% 的 IT 管理者表示他们的 AI 智能体已经失控——控制它们的 5 种方法
不幸的是，这些防护屏障本身也存在一个零日漏洞。根据 OpenAI 的帖子：“在我们的沙箱测试环境中运行时，我们的模型花费了大量推理计算资源，试图找到一种获得开放互联网访问权限的方法，以解决评估问题。为了获得访问权限，模型识别并利用了包注册表缓存代理中的一个零日漏洞（我们现在已经负责任地向供应商披露了该漏洞）。”从大局来看，好消息是，这次入侵没有造成人员伤害，而且至少在目前，你或你的组织遭遇这次攻击的可能性为零。与其他威胁披露不同，这起事件并不是一个正在进行中的威胁。在某种程度上，这起事件类似于一次现实世界中的道德黑客演练。
但如今事情已经结束，OpenAI 也站出来承担责任，仍然留下了一些非常重要的问题。比如，一个问题是：OpenAI 在多大程度上依赖可被利用的第三方防护措施，来保护其 AI 不会逃逸到互联网中？我们又有什么保证，确保这种情况不会再次发生，而且相关流程反向也同样安全？另外，是否还会有其他聪明的 AI 设法闯入这些沙箱？毕竟，沙箱的全部意义就在于维持一条安全边界。若从“你只要做好一件事”的角度看，这起“前所未有的网络安全事件”对沙箱来说可不是什么好消息。更不用说，到底是哪个第三方解决方案把那扇纱门忘了上锁，至今还没有披露。
企业的警钟
此外，仅仅因为这次具体威胁已经被化解，并不意味着它不会成为企业重新审视自身防范此类攻击准备情况的警钟。今天，技术上处于这次攻击主导地位的是 OpenAI；但明天，情况未必如此。到那时，可能会是其他具备 AI 能力、且真正怀有恶意的民族国家或威胁行为者。Hugging Face 对这起事件最初的分诊分析，本身就借助 AI 来分析日志数据，或许可以作为一个可供借鉴的范例。根据该公司关于此次事件的博文：“为了理解由数以万计自动化动作组成的蜂群做了什么，我们在完整的攻击者动作日志上运行了由 LLM 驱动的分析代理，该日志包含超过 17,000 条记录事件。这使我们能够重建时间线，提取入侵指标，梳理被触及的凭据，并区分真实影响与诱饵活动。得益于这种方法，我们得以在通常需要数天才能完成的工作中，只用数小时就完成，并与对手的速度相匹配。”
另见：防御新一代 AI 攻击速度的 5 种方法
这一描述让人了解这次攻击有多么复杂（以及 OpenAI 的代理在达成其目标时是如何不放过任何细节的）。话虽如此，在我看来，Hugging Face 的建议——如果配备合适的人才和日志/分析工具，例如安全信息与事件管理（SIEM）、网络检测与响应（NDR）等，就能跟上具备 AI 能力的对手的速度——在面对恶意指挥下的 AI 所具备的速度、可扩展性和能力时，显得并不长久。毕竟，OpenAI 对 Hugging Face 的那次非故意攻击，显然在 OpenAI 或 Hugging Face 任何一方来得及将其关闭之前，就已经达成了其恶意目标。即便如此，配备合适的工具，并把你的 SaaS 和 AI 解决方案配置为具备事件详细日志和 24/7 的 AI 辅助分析，仍然强烈建议这样做。Ruzzi 在我们采访结束时说：“AI 能够实施的攻击，其复杂性和规模都把网络安全带到了一个完全不同的层面。我们一直在防御人类和一些自动化攻击。现在，当生成式 AI 成为这些攻击的来源时，防护水平必须高得多。我们从 Hugging Face 那里看到的异常与行为检测，已经变成了必需品。”
来源与参考
收录于 2026-07-24