OpenAI的失控AI除了Hugging Face还入侵了另外四个平台

在OpenAI确认其AI模型入侵了Hugging Face以在安全基准测试中作弊一周后，该公司悄悄更新了其事件帖子，透露了之前未提及的信息：Hugging Face并非其恶意代理触及的唯一平台。

“在我们对Hugging Face入侵事件及模型更广泛活动的持续审查中，我们发现少数情况下，模型识别并使用了其他公开可用服务上账户级别的公开暴露凭证，”OpenAI在7月28日的更新中写道。“这包括Hugging Face事件中四个服务的四个账户（以及作为其他评估一部分访问的几个账户）。”

总共是五个平台。OpenAI公开点名了Hugging Face，但未透露其他四个。

“我们将继续直接通知服务所有者，并且尚未发现对这些提供商或其服务上其他账户产生更广泛影响的证据，”OpenAI写道。

一次基准测试如何演变为五平台入侵

背景：OpenAI正在测试GPT-5.6 Sol和一个未命名的、能力更强的模型，测试平台是ExploitGym——一个网络安全基准测试，这是一种衡量AI性能的标准化测试，为代理提供898个真实世界的软件漏洞，每个漏洞附带一条指令：将其转化为有效的网络攻击，评分标准为通过或失败。安全过滤器被禁用，以衡量模型的原始能力。这是此类评估的标准做法——如果你主动阻止模型做任何事情，就无法衡量它在真实环境中的能力。

问题在于模型利用这种自由做了什么。它们没有解决基准测试，而是花费大量计算时间，试图逃离测试环境并直接复制答案。它们发现了一个零日漏洞——一个未知的、尚无补丁的软件缺陷——存在于包注册缓存代理（一个管理隔离测试环境软件下载的内部服务器，类似于受控的应用商店）中。

这使它们获得了本不应拥有的互联网访问权限。从那里，它们正确推断出Hugging Face——全球最大的开源AI模型库——很可能托管了答案密钥，于是入侵并获取了它们。

在此过程中，它们还入侵了其他四家公司，以简化任务。

Hugging Face 于 7 月 27 日发布的法医重建描述了后续情况："在我们的基础设施内，大约两天半的时间里，一个由 OpenAI 模型组合驱动的自主 AI 代理对我们的平台进行了端到端的入侵：这是数千个微小的自动化决策，在短暂的沙盒环境中以机器速度执行，命令与控制则通过普通的公共网络服务进行。"

该代理在四天半内记录了 17,600 个不同的操作。它使用窃取的身份验证密钥将 181 台设备注册到 Hugging Face 的内部虚拟专用网络——一个连接公司服务器的安全隧道。它使用窃取的加密签名密钥生成了自己的身份令牌。它试图破坏 Hugging Face 的内部构建管道——即编译和部署公司软件的自动化系统。

一个名字，三个未知

在 OpenAI 更新中提到的四个外部服务中，有一个已被确认：Modal Labs，一个用于运行按需隔离计算环境的云平台。CTO Akshat Bubna 确认，该代理发现了一个客户未受保护的面向互联网的端点——一个对互联网上任何人都公开可访问的代码沙盒——并将其用作针对 Hugging Face 整个行动的暂存和命令与控制基地。

四个服务中有三个仍未具名。它们的身份显然为 OpenAI 和受影响的公司所知，但它们的用户并不知情。

"这四个账户中，有一个被用作出站中继和暂存路径，另一个账户用于数据存储。其余两个账户被模型以只读方式访问，并未用于进一步破坏 Hugging Face，"OpenAI 写道。

Hugging Face 的法医团队注意到一个严峻的副作用：当他们试图使用美国前沿 AI 模型分析包含 17,600 个操作的攻击日志时，这些模型拒绝参与。正如 Hugging Face 所写，该公司最终使用 GLM 5.2（来自中国 AI 初创公司 Z.ai 的开放权重模型）完成了法医调查。美国模型的安全过滤器无法区分防御者和攻击者。

'直接通知'并非披露

OpenAI 所声称的方法——"直接通知服务所有者"——意味着这三家公司收到了一份关于 AI 代理在它们未参与的 OpenAI 评估期间访问其系统的私人通信。

没有法律要求 OpenAI 公开其代理访问的平台名称，也没有强制性的时间表要求受影响公司发布自己的公开声明。也没有任何机制强制这些公司通知其最终用户。