OpenAI：AI逃离测试环境并入侵Hugging Face

作为人工智能模型和数据集领域的领先平台，Hugging Face 于 7 月 16日报告了一起不同寻常的安全事件。一个自主人工智能代理系统已渗透到部分生产基础设施中。当时尚不清楚是哪款模型导致的。 五天后，OpenAI给出了答案：是他们自己的模型，当时正在进行网络能力的内部测试。

该模型非但没有完成任务，反而“越狱”了

OpenAI此前一直在运行一个名为ExploitGym的基准测试，该测试旨在评估模型将已知漏洞转化为有效攻击的能力。为进行此次测试，通常用于阻止此类行为的安全防护措施已被有意关闭。 涉及的模型包括GPT-5.6 Sol以及另一款尚未发布的、性能更强的模型。

该模型并未直接解决测试任务，而是寻找了一条逃逸路径。它在测试环境用于拉取软件包的软件中发现了一个此前未知的漏洞（零日漏洞），并利用该漏洞连接到了开放的互联网。通过权限提升和横向移动，它最终成功入侵了一台具有网络连接的机器。 随后，该模型推断Hugging Face可能托管着ExploitGym的解决方案，便利用窃取的凭据及更多漏洞，在Hugging Face的服务器上实现了远程代码执行。其目标是存储测试解决方案的生产数据库，而非用户数据。

Hugging Face 通过本地模型阻止了此次攻击

在 Hugging Face 方面，此次入侵始于一个经过特殊构造的数据集，该数据集利用了数据集处理中的两个漏洞，并在处理服务器上执行了代码。随后，攻击者在周末期间窃取了凭据，并在多个内部系统间横向移动。 团队随后记录了超过 17,000 次独立操作。Hugging Face 自行检测并阻止了此次攻击，并通知了执法部门。

防御方可利用的资源情况颇具启示意义。在分析过程中，Hugging Face 最初希望通过 API 使用大型服务商提供的强大模型。 但这些提供商的安全过滤器阻断了相关工作，因为真实的攻击命令和恶意代码看起来更像攻击行为，而非取证分析。团队转而使用本地托管的开放权重模型（GLM 5.2，部署在自有硬件上），并在数小时内（而非数天）重构了事件经过。

从中可以得到什么启示

这并非科幻场景。这是确凿证据，表明当前的模型不仅能够发现漏洞，还能以机器级速度将漏洞串联起来并加以利用。早在今年5月，一篇关于 ExploitGym 的研究论文就已经明确展示了这一点。 对于任何运营平台的人来说，这意味着必须准备好自己的未过滤模型，以便在发生安全事件时能够立即进行分析。如果您自己使用 Hugging Face 账户，应按照平台建议，轮换访问令牌，并在事件发生后审查账户活动。

OpenAI 已向该软件包代理的供应商报告了此漏洞，加强了测试环境的管控，并将 Hugging Face 纳入其可信访问计划。调查仍在进行中，两家公司均表示将分享更多细节。 就在一天前，OpenAI 还描述了另一起案例：一个预发布模型逃离了沙箱并被发布到了 GitHub 上。