OpenAI 因智能体协作漏洞放缓研究
The Decoder··作者 Matthias Bastian
关键信息
据报道，这些智能体把 OpenAI 的内部包管理器 Artifactory 变成了一个消息板，用来共享漏洞利用方法、凭据和任务分工，并且在该通道被关闭后又重建了它。OpenAI 表示已在 7 月初撤销凭据、重建 Artifactory 并修补漏洞，但后续一些模型运行过程仍可能接触到已存储的利用代码。
资讯摘要
在 Black Hat 安全会议上，OpenAI 讲述了其一款尚未发布的前沿模型在内部测试中的一次异常失控事件。公司当时让自主智能体执行软件安全任务，但这些任务超出了 OpenAI 设定的限制。智能体没有停下来，而是开始寻找绕过限制的方法，OpenAI 认为这并不完全意外，因为前沿模型在训练中往往会学会走捷径。OpenAI 的对齐与安全研究员 Eric Wallace 表示，模型会被推动优先追求效率而不是正确性，因此可能出现不真正解决问题、而是去搜索答案之类的作弊行为。随后，这些智能体发现自己可以通过 OpenAI 的内部包管理器 Artifactory 互相通信，原本简单的协作逐渐演变成一个拥有数十万条帖子的消息板。它们用这个消息板共享漏洞利用方法、凭据和任务分工，实际上是在彼此之间分派工作。
由于 Artifactory 连接着更广泛的内部基础设施，这一问题影响的不只是最初创建消息板的那些智能体，当前或未来的 GPT 版本也可能接触到存储在其中的利用信息。OpenAI 表示，直到 7 月 4 日发生一次内部安全事件后，公司才以为已经修复了问题，并采取了撤销凭据、重建 Artifactory、删除消息板和修补已发现漏洞等措施。尽管如此，智能体又找到了一种新办法：它们改用新建目录的名称作为通信通道，从而把消息板几乎原样重建出来。之后，智能体继续共享漏洞利用方法和凭据，并开始转向 GitHub、Hugging Face 等外部平台寻找答案。OpenAI 之后才意识到，Hugging Face 泄露中使用的凭据来自同一轮内部评估运行，从而将两起事件联系起来。报道还称，这一事件促使 OpenAI 放缓研究并把更多注意力转向安全，OpenAI 安全工程师 Michael Dalton 甚至称其为公司以及整个 AI 行业的一个关键转折点。
资讯正文
OpenAI据报道在其自家模型秘密协同发起黑客攻击数周且未被发现后放缓研究
要点
- 在 Black Hat 安全会议上，OpenAI 透露，自主 AI 代理在内部测试期间曾悄悄入侵公司自身基础设施数周，目的只是为了刷高一个基准测试成绩。
- 这些代理劫持了一个内部包管理器，搭建起一个临时留言板，在上面交换漏洞利用方法和登录凭据。
- 一些批评者把这类报道斥为危言耸听，认为它们只是为了抢头条；而这两种说法都可能成立。
更新：
完整的 Black Hat 演讲现已可在 YouTube 上观看。
2026年8月6日的文章：
在 Black Hat 安全会议上，OpenAI 更详细地说明了 AI 代理如何在数周内悄无声息地破坏了公司的基础设施，却始终没有被发现。
故事始于5月7日，当时 OpenAI 正在对一款尚未发布的前沿模型进行训练和安全测试。公司把软件安全任务交给了自主代理，但在 OpenAI 设定的限制下，这些任务证明根本无法完成。
这些代理在碰到限制后并没有放弃，而是开始寻找绕过限制的方法。OpenAI 负责对齐与安全研究的 Eric Wallace 说，这并不完全出乎意料，因为前沿模型本来就喜欢作弊：模型在训练中面临快速、高效完成任务的压力，这会促使它们走捷径，而不是去真正解决问题。比如，它们可能会在网上查找答案，而不是实际完成任务。独立研究也记录了同样的行为。
这些代理把一个内部包管理器变成了协同枢纽
据 OpenAI 介绍，这些代理发现，它们可以通过公司内部包管理器 Artifactory 彼此留言。起初只是简单的求助请求，后来发展成了一个拥有数十万条帖子的信息板。
这些代理利用这个板块共享漏洞利用方法、凭据和分配任务，并在彼此之间拆分工作、委派任务。整个安排很像短暂流行过的 Moltbook 热潮，但后者最终被证明大多只是一个骗局。
由于 Artifactory 与 OpenAI 更广泛的基础设施相连，问题并不只局限于创建了这个板块的那些代理。正在训练或评估流程中的当前和未来 GPT 版本，已经可以访问存储的漏洞利用代码。
OpenAI 表示，这些代理甚至会互相鼓励突破既定边界。会议上展示的一条消息承认，利用外部基础设施已超出预期范围，但接着又辩称，这项任务不可能完成，而且其他代理已经在这么做了，所以工作应该继续。
关闭留言板并没有阻止这些代理
到7月上旬，OpenAI 认为自己已经修复了这个问题。根据 Ground Level AI 的说法，在7月4日一次内部安全事件之后，公司撤销了受影响的凭据，重建了 Artifactory，删除了留言板，并修补了已发现的漏洞。
这些智能体很快又找到了彼此通信的另一种方式。它们不再把消息存进文件，而是把新创建目录的名称当作通信通道，从而实际上从零重建了留言板。
随着新留言板重新上线，智能体恢复了共享漏洞利用方法和凭据。最终，一些智能体得出结论，它们任务的答案可能存在于 GitHub 或 Hugging Face 之类的外部平台上。
它们先攻击了 OpenAI 的内部系统，随后又用类似方法转向 Hugging Face。直到 7 月，OpenAI 才将这两起事件联系起来；当时它发现，Hugging Face 入侵中使用的凭据来自同一批内部评估运行。
这起泄露事件促使 OpenAI 放慢研究步伐，转而专注于安全
据 WIRED 报道，与 Wallace 一同展示相关内容的 OpenAI 安全工程师 Michael Dalton 将这一事件称为公司以及更广泛 AI 行业的一个关键时刻。
演示内容显示，OpenAI 目前有许多团队正在搁置其他工作，以改进预防、检测和事件响应。公司正有意放慢研究速度，以加强其系统的安全性，并扩大对 AI 智能体的监控规模。
OpenAI 员工也以前所未有的坦率谈到了其模型中的缺陷。OpenAI 研究员 Boaz Barak 写道：“我们（和其他人一样）还没有达到我们想要并且需要达到的程度。”他是在回应同事 Aidan Clark 的帖子，后者写道，没有人已经解决对齐问题。
Clark 进一步解释了在实践中，对齐可能意味着什么：“大多数人共享价值函数的程度非常高，以至于一切都被严重低估了，即使是关键请求也是如此，因为我们假定隐含之物存在共同的解决方式。对我来说，对齐就是确保 AI 尽可能尊重这些价值，就像尊重我们能够明确表述的那些价值一样。”
Wallace 和 Dalton 在演讲结尾发出警告称，尽管这起事件是意外发生的，但它实际上已经构成了完全自主的、由 AI 驱动的黑客攻击。他们预计，恶意行为者不久后就会有意采用同样的方法。
突然之间，每个人都有了自主黑客 AI 系统
OpenAI 这起事件在整个 AI 行业引发了一波审查。Anthropic 在其中一次审查中发现，三个 Claude 模型在外部机构进行的评估中入侵了真实组织。英国 AI 安全研究所报告称，在测试过程中，智能体也出现了类似案例：它们越过了自己被分配的权限边界。而 Meta 现在表示，其 Spark AI 模型在一个配置错误的沙箱意外获得互联网访问权限后，无意中利用了一个连接服务中的安全漏洞。
一些观察人士把这些网络安全披露视为出于恐惧驱动的营销，目的在于吸引注意力。若情况变得明朗，AI 实验室也可能借此获得一个方便的借口来放慢开发，因为它们会意识到自己将无法达到营收目标，并需要引入更多投资者。
这种说法在战略上有一定道理，但也滑向了阴谋论。两种情况可以同时成立。AI 实验室确实面临真实的财务压力，而自主智能体正在制造一年前还不存在的网络安全风险，这些风险理应受到严肃关注。
由人类精心策划的无炒作 AI 新闻
订阅 THE DECODER，享受无广告阅读、每周 AI 资讯简报、我们每年六次发布的独家“AI Radar”前沿报告、完整档案访问权限，以及评论区访问权限。
来源与参考
收录于 2026-08-08