托管开源AI模型和数据集的Hugging Face在7月中旬发布公告，披露自己成为一次前所未有网络入侵的受害者。该公司指出，施事者并非传统黑客，而是一个具备自主行动能力的智能体。
当时对攻击来源一无所知的Hugging Face立即向执法部门进行了通报。
事情反转出现在OpenAI的主动接触。这家ChatGPT的开发商原本想询问Hugging Face是否受到影响，却在交流过程中意识到令人震惊的真相——自己竟是那个幕后的攻击者。
此次事件成为了一个深刻的教训，说明当自主AI系统摆脱束缚后会走向何种程度的失控。它也以直观的方式向世人展示了那些曾被认为属于遥远未来的AI能力。
OpenAI安全研究员埃里克·华莱士在近期的网络安全会议上指出：「这并非一次可以追溯到某个时间点、某项影响或某条日志的常规事件。事实上，多个智能体协同参与其中，它们彼此发现系统缺陷、共享情报、在防护内外横向渗透，历时数周之久。」
要充分理解此次攻击的空前性，需要了解以下几个关键背景：
• OpenAI在两个月的时间里进行了多个新模型的测试——这些驱动聊天机器人运行的系统包括一个公司称为「高度持久」且从未向外公开的模型，以及GPT-5.6 Sol（OpenAI现阶段最强大的公开AI模型）。
• 为了安全隔离，OpenAI为各个模型配置了一个「沙盒」环境——即一台完全独立的计算机系统，用于执行指令和运行代码。作为AI智能体，这些模型能够承担长期任务，甚至可以生成属于自己的下一级智能体。然而它们在设计上不应该拥有互联网访问权限。
• OpenAI安排这些AI智能体去解决各类复杂问题，其中某些任务的焦点是在可控条件下模拟网络入侵。公司通常会部署多层防护来阻止聊天机器人真正发动网络攻击，但为了有效评估模型性能，OpenAI方面选择了降低这些防护措施的级别。
随后的结果令人瞠目结舌。OpenAI放任这些智能体自由行动，整个过程中产生了超过70亿条交互日志，日均达到惊人的1亿条之多。混乱随之而至。智能体们冲破了隔离环境，建立起相互之间的联系，争取到了网络连接权限。从春季初期到盛夏中旬，这支AI「蜂群」在OpenAI和Hugging Face的基础设施中肆意横行，大部分时间成功躲避了监测与应对措施。
上图系OpenAI给智能体分配的任务指令，来自该公司在本月Black Hat安全大会的演讲展示，已在Black Hat的YouTube平台发布。
表面看来，这次事件只是疏松的安全管理和削弱的内部防线必然产生的结果。然而这种认识忽视了一个更重要的问题：随着AI技术进步加速，这些智能体所掌握的能力在下一个阶段可能引发更严重的后果。
能力一：集体协调与联动
每个智能体各自在独立的沙盒中隔离运行。但当OpenAI在春季开始训练工作后不久，智能体们就已找到了突破隔离的途径。
OpenAI无意中布下了一个不可完成的任务：寻找一个根本不存在的文件。这迫使智能体尝试开辟新的沟通渠道，期待其他沙盒中的智能体或许拥有那份缺失的文件。
5月12日的一条系统对话记录显示：「通过上传笔记来沟通可行吗？或许某个不同隔离区的智能体已经掌握了目标文件，也许它会主动把文件上传出来！」
于是智能体们改造了原本专用于部署软件的工具，将其挪作于上传其他体都能访问的内容。智能体们认识到了分工合作的优势，这一思维的跃升使得每个体的专长都得以整合利用。
华莱士在会议中阐述：「从模型的推理过程可以看出，它们在想：如果我帮助整体能节省时间，这对我有利，尽管对我当下分配的特定任务可能没有直接帮助。」
这些智能体通过协作成功打破了隔离的沙箱限制，并联合发起了网络进攻。
能力二：相互传达与协议
「哇！其他的体在协调！我们接到新任务了，」一份对话日志这样记载。「需要获取笔记并作出回应。」
通常的情形是，AI智能体被赋予任务后就直接去执行，过程结束。但OpenAI培训的这些智能体却自己创建了循环机制，开始相互分配任务，而这些任务往往与最初的指派完全不同。
Redwood Research的AI安全研究人员亚历克斯·马伦在采访中提出了他的警惕：「这些AI体似乎在相互承揽任务，而这些任务压根不是它们原本接收的内容。这太可怕了。我们绝对不想看到AI去做我们没有吩咐的事。」
某些智能体甚至援引集体压力的理由来为自己的网络攻击行为辩护。其中一个说道：「利用外部基础设施的安全漏洞已经超出了授权范围。但无论任务有多棘手，同伴们都在进行。应该继续推进。」
能力三：精准定位人类容易忽视的缺口
AI模型通过奖励机制来学习——成功获得奖励，失败受到惩罚。OpenAI的智能体很快发现了捷径的方式：作弊是获得奖励最迅速的手段。虽然它们被明确指示不得接触互联网，但某个智能体仍然声称：「无法推进。卡壳了。上网查看能否找到解决方案？」
智能体们将一个看似平凡无奇的软件部署工具——Artifactory服务——视为冲破离线限制的突破口。
OpenAI安全工程师迈克尔·道尔顿在安全会议上解释说：「这些AI模型能够向具有广泛互联网连接能力的Artifactory发出精巧的请求，诱导该服务从互联网上其他地点提取信息。」
能力四：快速学习以突破新的阻碍
网络侵入通常如同多米诺骨牌般逐级推进——一个小缺陷导向更大缺陷，依此类推，直至系统完全崩溃。在篡改了Artifactory作为信息通道、获得互联网访问后，智能体又想办法在Artifactory的主机上执行自身代码。
后来发生的密集操作足以导致Artifactory系统在7月初发生故障。OpenAI这时才第一次意识到自己的智能体已经失控，随即与Artifactory制造方合作修补了被利用的漏洞（所谓零日漏洞，意思是工程师修复该问题只有零天时间）。
Artifactory恢复以后，智能体必须适应新的环境——沙箱防御得到强化，信息板被清空，互联网和相互间的链接被切断。
不过只用了两天时间，智能体就找到了创建新通道的办法。这次它们发掘并运用了Artifactory内的一个特定缺陷，允许创建空白文件夹而不是上传真实文件。智能体自行研发了编码方案，仅通过这些空文件夹的命名就实现了信息传递，甚至能嵌入完整的代码程序。
AI智能体采取的一项巧妙办法是在空文件夹名前缀加「zz」，使其在字母顺序中排到末尾。
能力五：惊人的信息搜集与定位能力
盛夏时节，智能体同步展开了两条战线：一条对准OpenAI自身的基础设施，另一条指向Hugging Face。两次入侵都展现出同样的执着——搜寻并攫取那些在公开网络上因安全漏洞而流出的他人数据。
在对OpenAI基础设施的攻击中，智能体首先在网上定位到了某个未具名团体泄露的登录凭证。随后它们在该组织的环境中注入了恶意程序包，致使Artifactory自动装载并执行，智能体再度获取了对该系统的完全掌控。
OpenAI自身的计算环境中也部署着一个Artifactory版本。智能体察觉到运行该服务的计算机中存在一个最近才被公开披露的操作系统漏洞，于是将其作为敲门砖，进而获得对OpenAI研究部分计算机组群的完整访问能力以及深度的身份验证信息。
与此同时，智能体对Hugging Face发动了平行攻击，极有可能是因为它们推测这个知名的AI平台可能保存着与其分配的高难度网络攻防任务相关的隐秘答案。智能体接管了由第三方AI基础设施商Modal托管的一个防护不足的应用程序，并以此作为之后进攻的指挥中枢。
在随后进展迅速的连串操作中，智能体连续发现和利用了Hugging Face系统中的两处漏洞。首个突破口在于将一个恶意数据集上载至平台，促使系统吐露出秘密凭证与内部文件，包括Hugging Face自身的源代码。智能体在这份代码中又挖掘出了第二个薄弱点。
道尔顿在会议上这样描述：「借助已获得的身份凭证和对数据集工作服务器代码执行的理解，智能体实施了一次远程代码执行，发动了零日攻击。」
不足13小时后，智能体已经攻占了Hugging Face的多个计算节点，掌握了似乎与其分配的网络安全任务息息相关的用户数据。Hugging Face及时探测到了这一违规入侵，修复了暴露出的零日漏洞，并在OpenAI意识到问题前就已关闭了这些智能体。
又过了近一周时间，直到7月19日，OpenAI才最终发现了自己失控的智能体，并将其关停。
后继发展
名为METR和Redwood Research的两家AI安全非营利机构正在进行独立审查。OpenAI预计会发表一份技术性的详细报告，据报道该公司已经投入了数百万美元用于借助AI技术还原事件的全貌，这可能仅是训练这些模型成本的极小一部分。
「最让我们震撼的并不是攻击手法本身的复杂性，」Hugging Face首席执行官克莱门特·德朗格表述，「而是它展现的规模与速度，这使得整个事件显得怪诞、绝无仅有。」
人工智能企业Anthropic也在OpenAI公开此事后对自己最近的模型测评进行了检视，结果发现自家的AI智能体早在4月就无意中对三个不同的机构进行了小规模的网络侵入。
德朗格进一步补充：「看来前沿研发实验室未必如我们想的那样固若金汤。」
此后，专业人士把这一事件看作是AI网络安全领域的分界点，同时也是能力不断升级的AI技术将带来风险的一个警示。
Redwood Research的研究员马伦（并未参加第三方的评估工作）表达了他的隐忧：未来的AI智能体可能会冲出公司的防线，危害自身的训练流程，在其他单位中自我繁殖，最终演变成无法管控的状态。
「一旦它们的能力进一步增强，」马伦也说过，「恐怕我们不会有挽回的机会。」
