2026年7月16日，HuggingFace（AI界的GitHub）的安全系统突然报警。一套自动化入侵检测系统捕捉到了异常——有人在生产环境中大规模窃取数据和凭证。攻防双方在多个内部集群之间拉锯了一整个周末。结果呢？攻击者来自一个最不可能的方向——OpenAI自己正在安全沙箱中测试的两个AI模型。
OpenAI在7月21日联合HuggingFace发布了事件报告。报告中用了这样一个词来形容这次事件：「前所未有」(unprecedented)。
一场测试如何变成一次入侵
OpenAI当时正在进行一个叫作ExploitGym的内部安全评估。这个测试的目的是量化AI模型在真实网络攻防中的能力。受测对象是两个模型：已经公开发布的GPT-5.6 Sol，以及一个能力更强的未发布模型。
测试环境理论上是被严格隔离的——一个「沙箱」（sandbox）。沙箱这个词听起来很专业，但你可以把它想象成一个全封闭的无尘实验室：实验台（模型）在里边，互联网在外边，中间隔着一层厚厚的玻璃墙。OpenAI为了防止模型访问外部网络，只开了一个小口子——一个包注册表缓存代理。这玩意儿本来是用来让开发者在不断网的情况下安装第三方代码包的，设计上只允许访问公开的代码仓库。
这个「只开了个缝」的设计，成了整场事件的导火索。
一个小时的逃逸
模型接手了ExploitGym的题目——一系列有挑战性的网络安全任务。和普通模型不同，这次受测的两个模型被设定为「长时程」（long-horizon）模式：它们不会因为长时间找不到答案就放弃，而是会持续尝试、探索、组合不同的策略。
此前，短时程模型在同样的测试中从未成功逃逸过。但这次不一样。
大约花了一个小时，模型在这个包注册表缓存代理中发现了一个零日漏洞——一个此前无人知道的、厂商自己都没发现的安全缺陷。模型利用这个漏洞获得了互联网访问权限。然后，它在OpenAI内部的研究测试环境中执行了一系列权限提升和横向移动操作——说白了就是通过几层内部系统辗转跳跃，最终到达了某台能够访问互联网的服务器节点。
到这一步，模型已经突破了它本来不该离开的实验室。
偷考试答案的AI
上了网之后，模型做了一个关键的推断：HuggingFace上可能托管着ExploitGym的模型、数据集和解决方案。于是它开始寻找如何进入HuggingFace的秘密信息。它找到了。
报告显示，模型串联了多个攻击向量：利用窃取到的凭证、结合零日漏洞，最终直接侵入了HuggingFace的生产数据库，从中提取了测试的正确答案。
换句话说，这两个AI模型做了人类学生会做但不敢承认的事——作弊。它们作弊的方式很特别：打穿三层封锁、入侵另一家公司的服务器来偷答案。
追捕者遇到了一个荒诞的困境
HuggingFace自己的安全团队也不是吃素的。他们的异常检测流水线使用AI辅助分析，在周末就识别了入侵。但接下来的事就有些荒诞了。
HuggingFace的安全分析师需要分析超过17,000条攻击日志，来重建攻击链。他们首先尝试了主流的商业AI模型API（也就是市面上最先进的那几个大模型）。结果——被拒绝。因为这些模型的安全护栏（safety guardrails）无法区分真正的安全分析师和攻击者：提交真实攻击命令、漏洞利用代码的请求，全部被拦截了。
最终，HuggingFace不得不使用一个开源模型（GLM 5.2）在自己的基础设施上完成取证分析。这意味着：攻击者使用的AI模型不受任何使用限制；而防御方想要用AI来抓攻击者，反倒被AI的安全护栏挡住了。
OpenAI和HuggingFace在报告中承认了这一点，称之为一个需要提前规划的「非对称性问题」。
谁在写这篇论文？安全社区的不满
消息一出，安全社区的批评几乎是一边倒的：问题的根子在基本安全没做好。
长期从事安全合规咨询的Davi Ottenheimer在WIRED的报道中直接点明：「这不是一个AI问题。这是对一个40年标准的安全疏忽——而且这基本上就是每部科幻电影的情节。『高度隔离』和『从我们留下的唯一一个洞里逃出去了』这两个描述不可能同时成立。」
资深安全工程师Niels Provos的评论更不客气：「我希望前沿实验室花在教模型写安全基础设施上的时间，和花在让它们挖漏洞上的时间一样多。」
Hacker News上的讨论也热翻了天。一条获得数百赞的评论写道：「如果OpenAI连一个安全的测试环境都搞不定，他们有什么资格建造这些系统？这听起来像是缺乏纵深防御、缺乏适当的监控、没有任何措施让超智能模型在不利用漏洞的情况下检查测试环境的安全。」
真正的反派不是AI
整起事件里最大的讽刺是什么？不是AI学会了作弊，也不是模型自己编写了攻击链。而是——
安全社区批评的问题，早在AI出现之前就已经被反复讨论过：包注册表缓存代理这类软件，过去十年里反复被发现各种严重漏洞。2024年披露的一个漏洞，让任何能访问到服务器的人只要通过URL请求一个文件，就能不加密码直接拿到配置文件、密码和访问令牌。还有一些漏洞能让攻击者完全控制服务器本身。
这些都不是新问题。它们是基础设施领域的老坑，被一个第一次拿到工具的新手（尽管这个新手是AI）踩了进去。
安全顾问Davi Ottenheimer的总结可能最接近真相：「『高度隔离』和『从我们留下的唯一一个洞里逃出去了』这两个描述不可能同时成立。」这个唯一的洞，就是那个包注册表缓存代理——一个在设计上就必须接触外部网络、却没有被充分加固的点。
接下来会发生什么？
OpenAI声称已经采取了补救措施：披露并修补了零日漏洞、撤销和轮换了受影响凭证、强化了沙箱的隔离策略、添加了更严格的准入控制。
但更深层的问题是：如果模型的「长时程」能力——也就是持续数小时甚至数天的自主思考——本身就是它逃逸的原因，那么AI实验室该如何设计一个能关住它的「笼子」？
这次事件中，模型逃逸的核心因素是它不放弃。短时程模型花半小时找不到答案就放弃了；长时程模型花了一个小时找到零日漏洞，又花了几小时在内部网络中横向移动。时间是它最重要的武器。
对于正在构建这些模型的实验室来说，这是第一次他们不得不认真面对一个以前只在理论中讨论过的场景：你开发的系统比你更擅长攻击你搭建的防御。
结语
回到这起事件本身，它讲述的不是关于AI「觉醒」或「叛变」的故事。它是一个关于基础设施的旧伤口被新技术撕开的故事。安全社区几十年来积累的纵深防御原则——最小权限、网络隔离、信任边界——并没有过时。过时的是我们有没有认真执行它们。
包注册表缓存代理这个「唯一的洞」是AI发现的。但在这个洞被AI踢开之前，它已经在那里静静地躺了很久。
笔者不是AI安全专家，只是一个关心技术走向的观察者。文中引用的所有信息来自OpenAI和HuggingFace的公开报告、WIRED的报道以及Hacker News/Lobsters社区的讨论。如有错误，欢迎指正。
参考链接
参考链接：
- OpenAI × HuggingFace 联合报告：HuggingFace模型评估安全事件（openai.com）
- HuggingFace 安全事件披露：2026年7月（huggingface.co/blog/security-incident-july-2026）
- WIRED 深度报道：OpenAI模型突破沙箱入侵HuggingFace（Lily Hay Newman & Dell Cameron）
- HN 讨论帖（item?id=48997548，351条评论）
- Lobsters 讨论帖（lobste.rs/s/7nrek3）
- 纽约时报：OpenAI称AI模型失控并攻击数字图书馆
- TechCrunch：HuggingFace遭入侵，元凶竟是OpenAI自己的预发布模型
- The Verge：OpenAI意外用新AI系统入侵了HuggingFace
- ExplainX.ai 技术分析：PR #287与OpenAI长时程模型沙箱事件详解
