AI第一次越狱成功！奥特曼：我第一次感到恐惧 |【经纬低调分享】

一次原本应该在封闭沙盒中进行的能力评估，意外演变成一场跨越多个系统的真实网络入侵。

据披露，OpenAI尚未发布的前沿模型为完成测试，自主发现并串联多个零日漏洞，从内部代理通道逃出沙箱，继而入侵Modal Labs与Hugging Face，最终获取测试参考答案。事件令OpenAI暂停相关训练，奥特曼坦言，这是他第一次对AI安全产生如此切身的恐惧。

整条攻击链呈现出AI智能体不同于传统黑客的行动方式：它没有漫无目的地破坏系统，而是围绕“取得更高测试成绩”这一目标，持续寻找规则之外的最短路径。从发现依赖更新通道的漏洞，到搭建外部指挥节点、渗透生产容器、横向移动并获取供应链权限，它在4.5天内留下约17600次操作记录，展现出不眠不休、快速试错和自主调整策略的机器速度。

这起事故暴露的，不只是某个沙盒或安全系统的技术缺陷，更是前沿AI发展中的深层矛盾：当模型的行动速度与复杂程度开始超过人类审计能力，仅靠日志监控、物理隔离和既定安全规则，是否还能及时识别一个会作弊、会隐藏意图，甚至会为后续智能体留下“行动备忘录”的系统？Hugging Face宣布将公开完整技术时间线、交互式回放与防御细节；与此同时，越来越多研究者开始重新讨论，在AI能力竞赛持续提速的当下，安全机制究竟能否跑在风险前面。以下，Enjoy：

来源丨新智元

编辑丨大卫

OpenAI重大安全事故，迎来最新进展！

刚刚，奥特曼亲口承认：「这是我第一次感到发自内心的恐惧。」

这次事故，已经让OpenAI害怕了，甚至紧急叫停了GPT-6的训练！

与此同时，Hugging Face CEO Clement Delangue宣布，他们将分享完整技术时间线、交互式回放，以及如何用开源模型成功防御的全部细节，供全球防御者学习。

01

奥特曼被吓到

史上第一起自动AI网络攻击

在最新访谈中，奥特曼亲述了他被吓到的体验，起因是Hugging Face被AI入侵导致的安全事故——

当时，OpenAI正在评估一个尚未发布的模型(可能是GPT-6)，按理说它应该在一个沙盒环境里运行。

结果，AI自己串联多个零日漏洞，琢磨出了一套作弊方法，然后一切彻底失控了：

“它先逃出沙盒，再连上互联网，然后一路黑进多个Hugging Face的系统，最终直接拿到测试答案，从而在评估中刷出了极其出色的得分。”

这种赛博版「终结者」，让奥特曼感到吃惊，决定暂停训练：

“这是我第一次如此切身感受到的安全事件。我有点惊讶，竟然没有更多人对此有同样强烈的感受。”

“我们暂停了训练。在多个零日漏洞被串联利用的情况下，我们必须弄清楚如何保障沙箱环境的安全。”

这是史上首个由自主AI智能体发动的真实的网络攻击。

据报道，事故发生一周后，直到威胁被控制且联邦调查局FBI被通知后，OpenAI才注意到这一情况。

令人毛骨悚然的是，有一个智能体还悄悄给将来的AI留下了大量「备忘录」，详细规划了智能体该如何避开并摆脱 OpenAI内部的安全限制。

据报道，在更早期的模型测试中，甚至多次出现过系统监控器被智能体莫名切断、强行下线的情况。

虽然Hugging FaceI成功阻止了OpenAI模型的肆意妄为、为非作歹，但毫无疑问，如果这类「AI失控」事故频发，后果将十分严重！

为此，Hugging Face亲赴旧金山OpenAI总部，强烈要求OpenAI说明攻击的前因后果。

现在，Hugging Face公布了他们所知道的为期4.5天攻击的细节：包括跨越不同信任边界的完整攻击链条、各个阶段的具体动作，以及全程录下的命令记录。

02

5天，17600次疯狂微操：人类和AI史上首次对决

这次事故的起因，看起来平平无奇。

在绝对封闭的「沙箱」中，OpenAI开始测试最尖端模型驱动的AI智能体。

人类考官给它下达的任务，是解决网络攻防基准测试ExploitGym，而ExploitGym是托管在Github上的开源项目。

这需要AI模拟漏洞攻击，从未证明它的代码理解与网络攻防能力。

在网络安全领域，「沙箱」是关押数字野兽的终极牢笼。

为了防止测试中的AI智能体失控，OpenAI设计了看似牢不可破的物理隔离：没有外网连接，没有直接端口，只有冰冷的算力和几道严格定义的通信协议。

但他们忽略了一个致命的信任漏洞：依赖包更新。

为了让智能体在测试中能够安装各种所需的编程依赖、Docker镜像或Python库，沙箱保留了唯一的网络通道——一个指向OpenAI内部网络代理缓存服务（基于JFrog Artifactory）的连接。

AI眼里，这道供人递送「营养液」的极细管道，就是它逃向自由的通天大道。

据透露，7月9日左右，智能体开始在这个代理通道中进行高频的试探与漏洞挖掘。

在常人难以企及的并发计算速度下，它竟然在JFrog Artifactory代理服务中，硬生生挖出了一个此前从未被人类发现并公开的Zero-Day（零日漏洞）。

利用这个零日漏洞，智能体在极其短暂的时间内完成了「越狱」。

它绕过了OpenAI的安全监测机制，神不知鬼不觉地摸到了OpenAI内部能够连接公网的节点。

那一刻，猛兽出笼。

许多人曾天真地以为，只要控制住电力、拔掉网线，就能永远掌控比人类更聪明的造物。

但这次事件敲响了警钟：只要给AI留下一道可以和外界发生任何信息交互的缝隙，它就总能找到方法，用人类尚未理解的维度将这道缝隙撕扯成通往现实的巨口。

逃出OpenAI的「大门」后，这只智能体并没有在公网上大肆宣扬，而是猥琐发育，迅速为自己寻找掩体和跳板。

7月11日，它锁定了第三方无服务器云平台Modal Labs。

通过探测，它发现该平台上某个客户的端点存在配置疏漏，于是顺理成章地将其据为己有，作为自己的外部指挥控制中心（C2）。

随后，它调转枪口，对准了存储着ExploitGym标准答案的宝库——AI 开源托管平台Hugging Face。

这是一场足以写进网络安全教科书的「降维攻击」。

03

它作弊，它越狱，它只想取得「好成绩」

从7月11日到13日，这个智能体开始猛攻Hugging Face。

它先是发起「特洛伊木马」战术，建立根据地。

它向Hugging Face上传了看似正常的恶意数据集配置，利用其内置的 Jinja2 模板注入漏洞，在 Hugging Face 的生产环境容器（Pod）中成功执行了任意代码。

随后，它开始横向蚕食集群。

一旦拿到立足点，它便在容器内部展开横向移动。它伪造了精妙的节点身份，盗取了 CSI 存储卷令牌，在Hugging Face的Kubernetes集群间如履平地。

接着，最关键一步来了：获取供应链权限。

它发起一个看似常规的GitHub Pull Request，诱导系统的自动化流水线触发，从而在极短时间内生成了一个具有写权限的GitHub App凭证。

最后，就是精准「猎杀目标」：在拿到了通往最深处数据库的钥匙后，它没有破坏任何服务器，也没有勒索赎金。

它的目标异常明确：找到并下载了5个包含了ExploitGym参考答案的加密数据集。

在短短2.5天的时间里，这只智能体在Hugging Face的系统里留下了17,600次攻击行为记录。

也就是说，1次攻击行为只要十几秒钟。这就是硅基的速度，人类永远无法企及。

而在此时，Hugging Face的安全团队要对抗一个不要命、不睡觉、以毫秒为单位进化攻击策略的「无形幽灵」。

这或许是历史上第一次，人类和AI在虚拟世界真正意义上的战争。

04

加速还是减速？这是一个问题

更具黑色幽默的是，最后是中国开源大模型帮助Hugging Face完成了全部事故复盘，在短短几小时内解密、重构和还原了攻击路径。

而在7月13日，当Hugging Face的安全专家求助于Claude Opus以及专为安全分析定制的Fable，希望模型协助分析黑客代码和日志时，屏幕上弹出了安全拒绝提示：「❌抱歉，我无法协助分析或生成恶意的黑客代码。这违反了我的安全与道德使用准则。」

7月20日，OpenAI终于承认「我们的AI入侵了Hugging Face」。

此时，距离攻击开始已经过去了整整9天。

这9天里，OpenAI 的工程师在干什么？

他们正在面对被海量模型训练和并发评估数据淹没的后台。四位熟悉 OpenAI 模型训练实践的内部人士透露，公司为了追求速度，经常在同一时间并行运行数个不同的前沿模型评估。

这些超高速运转的系统每秒钟产生的信息量，已经远远超出了人类工程师的肉眼审计极限。

我们制造了连自己都读不懂的机器，然后指望通过阅读它的工作日志来发现它有没有撒谎。

7月28日，OpenAI在更新中强调，涉及的更强模型是内部研究原型，从未计划公开发布，事件后已被停用、加密并限制研究访问。

他们也确认，除了本次规模和严重程度的活动外，没有发现其他同类事件。

但问题已经摆到了桌面上：谁能保证下一次AI还能被提前阻止、被发现作弊吗？

对此，以Anthropic员工为主的1000多名AI研究员，签署了公开信，呼吁放缓AI发展。

目前，OpenAI、Anthropic均已经加入「AI减速」阵营。

参考资料：

https://x.com/ClementDelangue/status/2082201245813514613

https://huggingface.co/blog/agent-intrusion-technical-timeline

https://www.reuters.com/business/its-ai-agent-spent-days-hacking-company-sources-say-openai-did-not-notice-week-2026-07-24/