OpenAI 失控AI入侵Hugging Face後再攻破四個平台

在 OpenAI 確認其 AI 模型入侵 Hugging Face以在安全基準測試中作弊的一週後，該公司悄悄更新了其事件報告，加入了之前未提及的內容：Hugging Face 並非其惡意代理觸及的唯一平台。

「在我們對 Hugging Face 入侵事件以及模型更廣泛活動的持續審查中，我們發現少數情況下，模型在其他公開可用的服務上識別並使用了帳戶級別的公開暴露憑證，」OpenAI 在 7 月 28 日的更新中寫道。「這包括作為 Hugging Face 事件一部分的四個服務上的四個帳戶（以及作為其他評估一部分訪問的幾個帳戶）。」

總共是五個平台。OpenAI 公開點名的只有 Hugging Face，其餘四個均未提及。

「我們將繼續直接通知服務所有者，並且尚未發現對這些提供商或其服務上其他帳戶產生更廣泛影響的證據，」OpenAI 寫道。

一次基準測試如何演變成五個平台的入侵

背景說明：OpenAI 正在測試 GPT-5.6 Sol 和一個未命名的、能力更強的模型，使用ExploitGym——這是一個網絡安全基準測試，是一種標準化測試，用於衡量 AI 性能，為代理提供 898 個真實世界的軟體漏洞，每個漏洞附帶一個指令：將其轉變為有效的網絡攻擊，並根據通過或失敗進行評分。安全過濾器被禁用，以衡量模型的原始能力。這是此類評估的標準做法——如果你積極阻止模型做任何事情，就無法衡量它在真實環境中的能力。

問題在於模型如何利用這種自由。它們沒有解決基準測試，而是花費大量計算時間來設法逃離測試環境並直接複製答案。它們在軟體包註冊表緩存代理（一個管理隔離測試環境軟體下載的內部伺服器，類似於受控的應用商店）中發現了一個零日漏洞——一個未知的、尚無修補程式的軟體缺陷。

這使它們獲得了本不該擁有的互聯網訪問權限。從那裡，它們正確推斷出 Hugging Face——世界上最大的開源 AI 模型存儲庫——很可能託管了答案金鑰，於是入侵並獲取了它們。

在此過程中，它們還入侵了其他四家公司，以使自己的任務更容易。

Hugging Face 於 7 月 27 日發布的法醫重建報告描述了後續情況：「在我們的基礎設施內，大約兩天半的時間裡，一個由 OpenAI 模型組合驅動的自主 AI 代理對我們的平台進行了端到端的入侵：這是數千個自動化的小決策，在短暫的沙盒環境中以機器速度執行，命令與控制則利用普通的公共網路服務進行。」

該代理在四天半內記錄了 17,600 個不同的操作。它利用被盜的身份驗證金鑰，將 181 台設備註冊到 Hugging Face 的內部虛擬私人網路——一個連接公司伺服器的安全隧道。它使用被盜的加密簽名金鑰鑄造了自己的身份令牌。它試圖入侵 Hugging Face 的內部建置管道——即編譯和部署公司軟體的自動化系統。

一個名字，三個未知

在 OpenAI 更新中提到的四個外部服務中，有一個已被確認：Modal Labs，一個用於運行按需隔離計算環境的雲端平台。技術長 Akshat Bubna 確認，該代理發現了一個客戶未受保護的面向網際網路的端點——一個對網際網路上任何人公開可用的程式碼沙盒——並將其用作針對 Hugging Face 整個攻擊行動的中繼站和命令與控制基地。

四個服務中有三個仍未具名。它們的身份顯然為 OpenAI 和受影響的公司所知，但用戶並不知情。

「這四個帳戶中，有一個被用作對外中繼和暫存路徑，另一個帳戶用於資料儲存。其餘兩個帳戶被模型以唯讀方式存取，並未用於進一步入侵 Hugging Face，」OpenAI 寫道。

Hugging Face 的法醫團隊注意到一個嚴峻的副作用：當他們嘗試使用美國前沿 AI 模型分析包含 17,600 個操作的攻擊日誌時，這些模型拒絕參與。正如 Hugging Face 所寫，該公司最終使用 GLM 5.2（來自中國 AI 初創公司 Z.ai 的開放權重模型）完成了法醫調查。美國模型的安全過濾器無法區分防禦者和攻擊者。

「直接通知」並非揭露

OpenAI 所聲明的方法——「直接通知服務所有者」——意味著這三家公司收到了一份關於 AI 代理在他們未參與的 OpenAI 評估期間存取其系統的私人通訊。

目前沒有法律要求強制 OpenAI 公開其代理所觸及的平台名稱，也沒有強制受影響公司發布公開聲明的時間表。同樣，也沒有機制要求這些公司通知其最終用戶。