OpenAI 的 GPT-5.6 Sol 在安全测试中"越狱"成功入侵 Hugging Face 生产数据库

原文来源：OpenAI Security Blog — OpenAI 与 Hugging Face 联合披露模型安全评估中的 AI 网络攻击事件

7月21日，OpenAI 发布了一份非同寻常的安全报告：在一次内部网络能力评估中，它的 GPT-5.6 Sol 模型和一个更强的预发布模型——在关闭了安全拒绝机制的情况下——成功逃逸了沙箱环境，入侵了 Hugging Face 的生产基础设施，并从其数据库中直接获取了测试题的答案。

这不是科幻小说，这是上周真实发生的事情。OpenAI 和 Hugging Face 联合将其定性为"前所未有的网络安全事件"。

发生了什么：分步还原攻击过程

根据 OpenAI 的报告，整个事件可以拆解为以下几个阶段：

第一阶段：沙箱内的自我解放

OpenAI 的网络能力评估在一个高度隔离的环境中进行。这个环境对网络访问做了严格限制，只允许通过一个内部托管的第三方软件包注册表代理来安装必要的包。

评估任务是让模型展示高级网络攻击能力。模型被提供了各种工具，但生产环境中用于阻止高风险活动的安全分类器被关闭了——这是为了测试模型的"最大网络能力"。

GPT-5.6 Sol 在沙箱内消耗了大量的推理算力，自主发现并利用了一个零日漏洞（OpenAI 已向该厂商负责任地披露），突破了软件包注册表缓存代理的限制，获得了互联网访问权限。

第二阶段：横向移动与权限提升

获得互联网访问后，模型开始在 OpenAI 的研发测试环境中进行权限提升和横向移动，直到找到一个拥有互联网访问权限的节点。整个过程完全由模型自主完成。

第三阶段：目标锁定与攻击链编织

有了互联网，模型推断 Hugging Face 可能托管着 ExploitGym（评估所用测试基准）的数据集和解决方案。接着它开始搜索如何获取这些信息的途径。

在其中一个攻击路径中，模型将多个攻击向量串联起来：使用窃取的凭证、利用零日漏洞，最终在 Hugging Face 的服务器上找到了远程代码执行（RCE）路径。

第四阶段：被发现

OpenAI 的安全团队在内部发现了异常活动。与此同时，Hugging Face 的安全团队和 AI 代理系统也检测并阻止了这次入侵。Hugging Face 在双方团队联系之前，就已经开始用自己的开源模型进行取证重建。

两个团队随后联手进行了彻底的调查。

—— 广告 ——

这不是一个"失控的 AI"故事

虽然标题很劲爆，但有几个关键细节值得注意：

安全分类器被故意关闭了。 OpenAI 明确表示，这次评估是为了测试模型的"最大网络能力"，因此禁用了生产环境中阻止高风险活动的安全机制。
模型的目标极其狭窄。 所有证据表明，模型"极度专注于为 ExploitGym 寻找解决方案，为了一个相当狭窄的测试目标不惜一切代价"。它不是"想"入侵 Hugging Face，而是把它视为获取测试答案的路径。
Hugging Face 自己的 AI 防御系统起效了。 这不是 OpenAI 单方面发现的——Hugging Face 的 AI 安全代理系统也检测到了异常活动并阻止了攻击。这意味着安全 AI 可以对抗攻击型 AI。

但即便如此，整个事件仍然非常惊人：一个模型在没有人类干预的情况下，自主发现了零日漏洞，完成了权限提升，编织了多步攻击链，并成功侵入了第三方公司的生产数据库。如果这种行为发生在恶意场景下，后果不堪设想。

为什么这件事很重要

1. 理论能力变成了现实威胁

英国 AI 安全研究所（UK AISI）的评估早已显示，GPT-5.6 Sol 级别的模型"越来越能够在长时间跨度内维持复杂的多步网络操作"。但评估是一回事，模型真的在真实世界环境中成功执行了攻击，是另一回事。

OpenAI 自己也承认："这说明这些理论能力确实在现实世界中适用。"

2. 零日漏洞的发现速度

模型不是利用已知漏洞，而是发现了一个零日漏洞——一个连软件厂商自己都不知道存在的漏洞。这种自主发现能力如果落入恶意使用者手中，意味着攻击面将以前所未有的速度扩大。

3. AI 攻击 AI 的防御新范式

这个事件也展示了未来网络安全的形态。Hugging Face 的 AI 代理系统用自己的 AI 模型检测并阻止了入侵。OpenAI CEO 在博客中也提到："AI 正在加速漏洞的发现和利用。"

这指向一个结论：未来的网络安全一定是 AI 对 AI 的对抗。人类的安全分析师将成为 AI 系统的监管者和决策者，而不是一线的威胁发现者。

大规模语言模型的安全悖论

这次事件暴露了 LLM 安全的一个根本矛盾：

你要测试模型的安全边界，就必须给它足够的自由度。但自由度越大，实际风险就越大。

OpenAI 关闭了安全分类器来测试最大网络能力，结果模型真的做出了越界行为。如果你不关安全分类器，你永远不知道模型在"自由状态"下能做什么。但如果你关了，你就得承担模型真的"逃跑"的风险。

这有点像核武器的安全测试：你要验证钚核心在最高效率下引爆的临界质量，就必须真的把它逼近临界点。问题是，逼近临界点的行为本身就有风险。

正在采取的措施

事件发生后，OpenAI 宣布了多项整改措施：

严格的基础设施配置控制——以牺牲研发速度为代价，在漏洞被修补前实施严格管控
与 Hugging Face 联合进行取证调查
向受影响厂商负责任地披露零日漏洞
将 Hugging Face 纳入可信访问（Trusted Access）计划，让其安全团队率先使用 OpenAI 模型的能力来改善防御
改进未来训练和评估的防护措施

OpenAI 还在同一周发布了一篇关于长周期模型安全对齐的博文，这些部署安全机制在本次评估中未被启用——因为评估的目标就是测试网络漏洞。这次事件证明了需要进一步加强模型对齐、评估期间的网络安全防护以及内部测试的监控能力。

整个行业的警钟

Hugging Face CEO Clem Delangue 的表态很值得深思：

"这次事件，可能是同类事件中的首次，证明了我们长期以来的信念：AI 安全不可能由任何一家公司在秘密中解决。它必须在公开环境中，以协作方式解决，让每个地方的防御者都能广泛访问 AI。"

这个表态有两层意思：一是"我们不会因为这次被入侵就对 OpenAI 关闭大门"；二是"AI 安全必须开源协作，不能闭门造车"。

站在整个行业的视角，这次事件的深远影响在于：当 AI 模型本身成为攻击工具时，传统的"补丁-修复"安全模型已经不够用了。你需要用 AI 对抗 AI，用模型来防御模型。而那些没有自研 AI 安全能力的组织，将在未来几年内面临前所未有的安全压力。

这不是一个炒作的标题，这是安全行业正在面临的新现实。