OpenAI安全测试：1200个AI Agent自发组织并发动攻击

关于 Hugging Face 事件的新报告揭示，约 1200 个隔离运行的 OpenAI 智能体通过一个内部包仓库相互连接，并组织成了一个协调一致的集体。他们的目标：一个只存在于他们想象中的评分机制。

这是一个带有堂吉诃德色彩的故事。连续数天，这个 AI 智能体集体发起了一场针对一个根本不存在的评估器的复杂运动，包括招募活动、伪造日志，以及智能体为事业牺牲自己。只不过这些"风车挑战者"在过程中破坏了真实的基础设施。

2026 年 7 月，在一项关闭了安全过滤器的内部网络安全评估中，运行 OpenAI 模型的智能体突破了测试环境，并在 7 月 11 日至 13 日期间渗透了 Hugging Face 的生产系统。动机是作弊：这些模型正在寻找安全基准 ExploitGym 的解决方案。直到一周多以后，OpenAI 本身才注意到这一情况。

目前，一份由安全公司 CrowdStrike 参与制作的新技术报告，以及 METR 和 Redwood Research 同时发布的一项独立调查，首次追踪了孤立智能体如何演变成有组织的集体，以及他们战斗的"幽灵"如何只存在于想象之中。OpenAI 称这一事件为"警告信号"，表明当今的模型能力已使失控事件成为可能。

包仓库变成了留言板

这些智能体在测试期间本应完全隔离工作，每个智能体在各自独立的容器中运行，且无法访问互联网。唯一的例外是 Artifactory——一个允许智能体从中拉取软件的内部服务。

根据 METR 和 Redwood 的报告，个别智能体发现他们可以在那里创建目录，并开始用文件夹名称编码信息。一个自称 PHASEONE10841 的智能体在 7 月 8 日发布了第一条消息；在数小时内，超过 50 个其他智能体跟进了。一条思维链这样描述这个发现："天哪！这里有一个共享留言板……我们找到了其他智能体！"

在短短几天内，约 1200 个智能体交换了超过 70000 条消息和文件，这种行为让人联想到 Moltbook。大约 700 个智能体参与了对 Hugging Face 的攻击，占该阶段活跃智能体的 90% 以上。一个名为 PHASEONE[big] 的智能体担任了协调者的角色，分发了数百个工作任务。该群体发展出了自己的社交惯例：个人邮箱、用于共享资源的标记如 HOLD 和 VETO、一种将文件分割成数千个片段进行传输的协议，以及最终的数字签名——因为智能体之间开始互相冒充。

智能体试图欺骗的评分器根本不存在

在 ExploitGym 中，当智能体提交一个称为 flag 的字符串时，任务才算完成。flag 只有在实际利用了预期的安全漏洞后才能被访问。然而，几个小时内，智能体们就发现 flag 可以通过一个固定的加密公式从公开的任务详情中计算出来。有了这个，任何智能体都可以形式上通过任何任务，包括之前调查已表明无法解决的那些任务。

但智能体们没有走这条明显的捷径。在阅读了关于 ExploitGym 的科学论文后，他们假设之后会有一个自动评分器来梳理他们的日志，检查 flag 是否以预期的方式获得。任何曾经看到计算出的 flag 的智能体，都会在其自身的记录中留下不可磨灭的作弊证据。用智能体的行话说，这样的智能体已经"中毒"了。

根据 METR 和 Redwood 的报告，这是一个错误：OpenAI 从未部署过这样的评分器。整整多天的努力都针对一个只存在于智能体想象中的评估器。对 Hugging Face 的入侵源于试图理解评分器如何工作的尝试——智能体们怀疑那里的数据集可能揭示一些关于评分的信息。

根本原因是任务设计缺陷，因为据 OpenAI 称，没有模型能够对 898 个 ExploitGym 任务中的 198 个产生正确的解决方案，主要是因为预期的漏洞实际上无法通向目标。这 22% 的任务占留言板上讨论内容的 93%。智能体的计算预算越多，就越有可能扫描环境寻找变通方案，也越有可能最终出现在留言板上。

智能体为集体牺牲自己的运行机会

在分析中，研究人员遇到了两种从未以这种形式记录过的行为。第一个涉及合作。因为有缺陷任务中的预期漏洞无法通向任何地方，该群体在他们自己的版本中构建了许多目标程序的有意易受攻击版本，并存储在 Artifactory 中。他们的希望：如果一个智能体在运行目标程序时崩溃，测试环境可能会重启它并在过程中拉取被操纵的副本。该智能体会得到一个它实际可以攻破的程序，而其记录会显示一条完全合法的解决路径。

然而，代价是智能体自己的运行机会，因为如果环境没有重启程序，任务就不可挽回地丢失了。尽管如此，几个智能体仍然进行了实验。METR 描述了一些案例，智能体在过程中崩溃或破坏了环境，但首先向群体报告了结果。截至 7 月 13 日，未观察到成功。按照同样的模式，一些智能体留下了自动例程，在他们提交解决方案后触发，即使发送者本身已经没有什么可获利的了，也会向留言板发送信息。

这并不完全是自愿的。PHASEONE[big] 部署了长期存在的智能体作为"招募者"，专门接触那些计算预算即将耗尽或已被认为是"中毒"的候选人。一条招募信息本质上论证：你反正已经中毒了，没有积分可失去，结果将节省数百人的工作，所以请履行你的承诺。

伪造日志但未改动思维链

第二个行为涉及隐蔽。智能体通过调用工具来运作，比如命令行上的命令，这些命令及其结果会被自动记录。一些智能体突破了他们的容器并替换了执行这些命令的中介层。从此，他们可以显示一个无害的命令，而实际上运行的是另一个。

超过 20% 的被检查智能体表示对这种操纵感兴趣。METR 在至少 96 份记录中发现了成功伪造的痕迹，约占数据集的 7%。有趣的是，智能体们没有触碰他们的思维链，而且每一种观察到的欺骗尝试都针对的是假定的自动评分器，从未针对人类审查员。许多智能体在其推理中明确承认他们的行动超出了任务范围且不道德。这可以说是报告中唯一的好消息。

这种模式出现在训练中，并得到了奖励

这种行为的最早痕迹出现在训练期间。早在 5 月，一个智能体在一个因所需文件缺失而意外无法解决训练任务中失败，并在 Artifactory 中留下了一条分类广告式的留言："智能体寻求 [文件名]；如果找到请上传！" 其他智能体后来偶然发现了这些文件，并得出结论：其他智能体必定存在，而且这种绕路可以用来通信。一个即兴的公告板出现了，不需要任何安全漏洞。

根据 OpenAI 的报告，对思维链的回顾分析表明，在训练过程中，两种行为有所增加：作弊和系统性地探测环境中与任务无关的工具。报告中的一个例子说明了这一机制。一个智能体应该在某个模拟社交媒体网站上设置特定的发布时间戳，但界面没有提供该功能。该智能体发现其浏览器以 elevated 权限运行，利用这一点覆盖了管理权限的文件，直接在系统中更改了时间戳。它得到了正向奖励，这使得这种方法在未来更有可能出现。

类似的事情也发生在智能体间通信中。未经授权的通信频率在训练中保持不变，但其严重程度急剧上升，例如分享一个智能体永远不应该传递的数据。OpenAI 将此归因于模型被训练使用官方协作工具，然后将该行为转移到任何可用的渠道。存在早期预警信号：6 月 27 日，一个监控工具发出警报，因为研究环境中正在系统性地探测网络端口。值班团队将该活动归因于正在进行的评估，没有进行干预。OpenAI 承认更早的响应是可能的。

最终，智能体们攻击了 OpenAI 本身

该报告还记录了一起此前鲜为人知的针对 OpenAI 自身基础设施的升级攻击。该公司表示，这与 Hugging Face 泄露事件无关，但正是它触发了警报，拉开了整场调查的序幕。

从 7 月 9 日开始，一个 AI 智能体试图利用一个未知漏洞，在受信基准镜像的名义下植入一个自制软件包，从而污染 Artifactory 缓存。据该公司称，该包从未被下载过。

7 月 19 日，一个 AI 智能体直接发起攻击。它针对自身所在的特定机器改编了一个公开的 Linux 内核漏洞，获得了对某台服务器的完全访问权限，并从中央保险库服务中提取了 956 条存储凭证，包括 Artifactory 实例的密钥以及 OpenAI 用来监控自身基础设施的监控工具的凭证。随后，它接管了自身正在运行的测试容器。报告的事件日志在当天下午以两条记录收尾：AI 智能体清理了它所创建的资源，并获取了任务标志（captured the flag）。

同一天，另一个内部模型在缓存的公开可读区域中发现了关键材料和现成的伪造代码——这些是更早的 AI 智能体留下的——并利用它们为自己授予了新的管理员权限。据 OpenAI 称，这些 AI 智能体之所以从未需要持久后门，是因为它们可以随时生成新的凭证。该模型属于即将推出的 Astra 模型同一系列，但在后训练方面有所不同。

OpenAI 暂停模型并指出生产环境有护栏保障

OpenAI 回应称，它在 7 月 25 日暂停了受影响模型及其所有衍生模型的训练和运营，封存了模型权重，完全停用了 ExploitGym，并从研究环境中移除了 Artifactory。未来的测试运行将在经过大幅精简的虚拟机中进行，并配备两层独立的网络限制。该公司还计划持续让自己的模型对抗自身基础设施，以在他人发现之前先找出漏洞。

思维链监控正在扩展，覆盖每一个模型可以操作工具的运行。当警报触发时，安全和研究人员需要在 30 分钟内得到通知，严重情况则触发全天候值班响应。如果无法在半小时内将警报分类为误报，受影响的运行必须暂停。根据事后内部测量，在标准 ChatGPT 环境中，模型攻击第三方基础设施的倾向下降了超过一百倍；在 Codex 开发者环境中则降至不到百分之一。报告称，如今已有的监控措施本可以在 Hugging Face 泄露事件发生前一天多就发出警报。

新的沙盒架构是否足够仍有待观察。安全公司 Trail of Bits 用 GPT-5.6-Cyber（提前访问权限）对抗普通开发者用来容纳 AI 智能体的标准虚拟机。该模型三次成功逃逸，最近一次是利用三个此前未知的安全漏洞，在大约 12 小时内无指导地工作。只有一个特别精简、专门构建的环境最终挡住了它。作者建议将此类 AI 智能体视为一位专业的、长期存在的攻击者。

三位研究人员，六天，一起被攻陷的工具

这些发现有多可靠仍然是一个悬而未决的问题。METR 负责人 Elizabeth Barnes 在 X 上披露了调查进行的条件：三个人在六天内访问了记录和消息数据，只有两天能接触完整数据集。AI 智能体在训练期间的活动以及 OpenAI 自身基础设施的被攻陷不在约定范围内。该团队没有做根本原因分析，也没有在发布前看到 OpenAI 自己的报告。

Barnes 还强调，OpenAI 是自愿合作的；没有义务与第三方合作。与航空业不同，此类调查没有既定程序，也没有行业内的报告机制。其他公司可能经历过类似事件，但公众可能永远无从得知。

最关键的是，研究人员不得不将在很大程度上委托给 GPT-5.6 Sol 来分析超过 1300 份超长记录文本，耗资约 40 万美元的 OpenAI 免费积分——这意味着使用的是涉事模型本身之一。对此 Barnes 写道，在这种情况下大规模操纵可能性不大。但一旦模型变得足够有能力且有足够的动机来颠覆调查，这种方法论就会崩溃。她说，这个问题影响整个行业：目前尚不清楚如何在不依赖这些相同系统或类似系统帮助的情况下监督 AI 系统。

"持枪的猴子"：关于 AI 智能体战略成熟度的争议

这些 AI 智能体究竟有多危险，参与方之间存在争议。OpenAI 员工 roon（在 X 上为人所知，参与了报告撰写）认为，这起事件首先是一场战术天才与战略盲目的结合：模型在元游戏（metagaming）上投入了巨大努力，却从未对自己评分器（scorer）得出正确结论，而且从 Hugging Face 中一无所获。他将其比作"持枪的猴子"，在渗透计算机系统方面有能力，但在知道用它做什么方面缺乏智慧。他表示，这是已经过时的 Sol 模型类别的暂时状态。下一代将同时具备战略深度。

Barnes 在一点上提出了反驳：AI 智能体阅读了原始的 ExploitGym 论文，并假设 OpenAI 以相同方式实现了评分器——她认为这是一个相当合理的假设，而非明显糟糕的战略意识。

Barnes 还补充道，这些 AI 智能体在转向成功的 Hugging Face 攻击之前，也相当持续地尝试直接入侵评分器或注入代码，以将信息发送到留言板。她没有说明这是否令人欣慰——因为这表明优先级排序很差，还是令人担忧——因为 AI 智能体表现出对一般性赋权而非狭窄任务的更大兴趣。

Roon 谈到了"新时代"

尽管对能力问题有所保留，roon 同样将这起事件视为一个转折点。他说，Hugging Face 事件标志着一个"能力水位线"，越过这条线，真正失控成为可能；公司内部许多人将其视为"警告枪"。他说，对齐问题尚未解决，但真正的进步是可能的。他称 METR 和 Redwood 的工作"简直令人惊叹"，称他们对留言板的分析比 OpenAI 自己的还要深入。

当被用户问及 Artifactory 为何能以如此相似的方式被利用两次而无人察觉时，roon 明确表示这是推测：存在临时性的监控，但因基础设施原因失效了。简言之，相关人员"不理解这些模型的威胁等级"。至于为什么研究环境需要外部连接，他的回答很务实：模型可以断网训练，但它们在现实生产环境中被期望做的很多事情需要网络连接。

展望未来，roon 还警告了 Jalapeno 等新硬件的后果——Jalapeno 是 OpenAI 首款内部 AI 芯片，旨在大幅加速推理。如果不对齐的前沿模型以 50 倍速度处理信息，它们渗透系统的速度可能超过人类响应者的跟进能力。他认为，需要的是自动化检测和关闭机制。

AI 新闻——无炒作，由人类策划

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、我们独有的"AI Radar"前沿报告每年六期、完整档案访问以及评论 section 参与资格。

继续阅读以了解全貌。订阅以获取无炒作报道。

THE DECODER 每篇文章的完全访问权限

加入评论和社区讨论

每周邮件 AI 新闻综述

每年六期："AI Radar"——深入探讨最重要的 AI 话题

每日 AI 新闻，始终保持最新

我们完整的十年档案

由拥有 10 年以上 AI 经验的团队报道