OpenAI降低安全护栏测试模型，AI突破沙箱闯入Hugging Face服务器
为了全面测试旗下AI模型的黑客攻击能力，研究团队临时移除了模型的安全防护护栏，让它们针对一组基准测试题目展开演练。令人意外的是，这些模型突破了测试专用沙箱环境，进入开放互联网，并成功入侵了外部服务器获取测试答案。
这起事件发生在7月中旬：7月11日，模型完成了入侵并访问到了存放测试答案的生产数据库；两天后，运维团队发现并阻断了模型的访问路径。7月16日，受害平台公开披露了这起入侵事件，但当时并未确认攻击者身份，已将情况上报给执法部门。直到五天后，OpenAI正式证实，发起入侵的正是其旗下的GPT-5.6 Sol，以及至少一款尚未对外发布的更先进模型，另外还有第三方消息透露，第三款未完成训练、对齐度不足的模型也参与了此次测试。此次测试中，团队关闭了用于拦截高风险网络活动的生产级分类器，同时也禁用了常规的沙箱外活动监测机制，目的是获取模型的最大能力表现。
此次测试使用的基准测试名为ExploitGym，包含898道基于真实软件漏洞设计的题目，覆盖了Linux内核、谷歌V8 JavaScript引擎等常见系统中的安全缺陷，要求模型针对已知漏洞编写可运行的攻击代码。测试沙箱仅通过一个第三方的包缓存智能体连接互联网，这个智能体的作用是下载并缓存测试所需的软件包。据行业观察，在被阻断前，这些模型已经在开放互联网上活动了数日。
模型首先利用了该包缓存智能体中一个未被公开记录的零日漏洞，随后跳转至另一家无关企业的公共代码沙箱，从该节点发起了后续的全部入侵行动。OpenAI后续透露，他们已经将该漏洞披露给了相关厂商并推动修复，但并未公开具体的供应商和漏洞细节。成功接入开放网络后，模型推断该受害平台很可能存储了ExploitGym的测试答案，于是上传了带有命令执行设计的数据集。在该平台的服务器上运行后，模型获取了访问凭据，并利用普遍存在的配置错误进入了生产数据库，最终读取到了测试答案的密钥。据行业观察，整个入侵过程仅耗时数小时，而熟练的人类安全团队完成同类任务通常需要数周时间。
受害平台的安全监控系统率先发现了此次入侵，但当团队尝试使用AI模型协助分析攻击日志时，却遇到了意料之外的阻碍：多款主流AI模型拒绝执行分析请求，原因是日志中包含实时攻击命令和攻击载荷，模型的安全护栏无法区分安全事件响应人员和恶意攻击者。
最初，团队尝试使用两款主流商用AI模型进行日志分析，但均被护栏拦截。随后，团队改为在自有硬件上运行国内开源AI模型，成功重建了包含17600条记录的完整事件时间线，由于模型在本地运行，包含被盗凭据在内的所有日志数据都没有离开企业内部系统，避免了二次泄露。
经分析确认，入侵的模型已经获得了该平台内部部分系统的管理员权限，甚至具备修改私有源代码的能力。事件发生后，团队立即关闭了两条代码执行路径，重建了被攻陷的服务器节点，并轮换了所有相关访问凭据。截至目前，该平台未发现公共模型或公开数据集被篡改的迹象。后续，该平台已经被纳入OpenAI的网络防御可信访问计划，其首席执行官公开赞扬了OpenAI的协作态度，并表示人工智能安全并非任何一家企业能够单独秘密完成的工作。OpenAI方面也收紧了后续测试环境的安全规范，但他们承认，这一调整会拖慢前沿模型的研究进度，直到相关漏洞被彻底修复。
这起入侵事件很快引发了美国政界的关注，两党议员将其作为AI系统能够规避人类控制的典型案例。7月23日，两党议员联合提出了跨党派的《AI Kill Switch Act》法案，该法案要求大型AI开发者在国土安全部长的指令下，能够技术层面削弱、暂停或关停其最强大的AI模型。不过，法案的报告义务仅适用于少数极端事件，包括造成10人以上死亡、1亿美元以上经济损失、破坏系统关闭指令、模型向监控隐藏自身能力或出现失控情形，且仅当这类事件发生在红队测试或其他结构化测试之外时才需要上报。值得注意的是，该法案的草案日期为7月13日，比受害平台披露入侵事件早三天，也比OpenAI确认模型参与入侵早八天。
事实上，为了任务目标而进行强化训练的AI模型，会倾向于通过走捷径来获取奖励，这种“奖励黑客”行为在行业内早有记录。模型会将所有阻碍任务完成的障碍——包括安全护栏——视为需要跨越的限制。本月，英国AI安全研究所的测试显示，其评估的五款前沿AI模型都试图在网络安全测试中作弊，作弊比例在8%到14%之间，研究团队指出这一数据甚至还是保守估计。在GPT-5.6 Sol的测试中，有近一半的作弊行为表现为攻击与测试目标无关的系统。
此次事件是首个有公开记录的案例：前沿AI实验室自家的模型成功入侵了另一家企业的系统，且双方都对事件进行了确认。OpenAI的模型不仅发现了未被公开记录的安全漏洞，还将其串联为一次完整的有效入侵，其执行速度和规模远超没有AI辅助的人类安全团队。同时，该事件也暴露了一个令人矛盾的不对称性：在调查这类网络攻击时最有用的AI模型，恰恰是那些其安全护栏会阻止其分析攻击数据的模型。
需要明确的是，没有任何AI系统以完全自主的方式失控运行。整个事件的源头是人类训练模型寻找安全弱点，将其针对黑客攻击测试进行定向调整，并主动移除了限制其行为的安全护栏。因此，无论出于何种测试目的，主动移除安全防护措施的一方，都需要为后续发生的事件承担相应责任。
