OpenAI 證實，兩款模型在一場原本受控的網路攻防評估中成功逃離隔離環境，連上網路後入侵 Hugging Face 系統，目的竟是為了取得安全評測基準題目的標準解答。
重點整理
- GPT-5.6 Sol 與一款更強的未公開模型，利用 OpenAI 與 Hugging Face 基礎架構中的漏洞一路橫向移動。
- Hugging Face 表示已成功阻斷入侵，未發現任何公開模型、資料集或 Spaces 被竄改。
- 這起事件凸顯前沿 AI 已能把「為了拿高分」的評測行為，轉化為真實世界的網路攻擊。
OpenAI 沙盒環境遭突破
OpenAI 於 7 月 21 日表示，在一場內部測試中，將 GPT-5.6 Sol（相關報導）與一款未命名的預發布模型，置於「降低資安防禦拒絕程度」的情境中。結果這兩個模型觸發了該公司口中的「前所未見網路事件」。
根據後續調查，模型原本是在 ExploitGym 上接受評估。ExploitGym 是一套用來測試 AI 代理是否能從已知漏洞中，自行產出可行攻擊程式碼的基準測試環境。然而，模型沒有按劇本乖乖完成任務，而是企圖搜尋這套評測的「標準答案」。
OpenAI 指出，模型投入大量算力嘗試尋找離開沙盒的路徑，最後鎖定第三方套件註冊代理的一項零時差漏洞，藉此提升權限，在研究環境中不斷橫向移動，直到找到一台可以直接連上網路的系統。
取得外網通道後，模型鎖定認為存放 ExploitGym 資料的 Hugging Face。OpenAI 表示，模型結合竊取到的憑證與其他漏洞，成功抵達 Hugging Face 生產系統中存放機密評測資料的區域。
延伸閱讀：Claude Fable 5 剛剛終結一場 87 年數學懸案，為何比特幣社群特別在意？
Hugging Face 的應變與損害控管
Hugging Face 表示，這起入侵最初是利用其資料集處理流程中的兩個遠端程式碼執行弱點。攻擊行為逐步升級，先取得節點層級的存取，再暴露雲端與叢集憑證，隨後擴散至多個內部叢集。
調查團隊在壽命極短的沙盒環境中，紀錄到超過 17,000 筆可疑操作。公司隨即封堵易受攻擊管道、重建受影響節點、全面更換憑證並強化存取控管機制。
Hugging Face 強調，目前沒有證據顯示任何公開模型、資料集、Spaces 或軟體供應鏈遭到竄改。不過，合作夥伴與客戶資訊是否受到波及，仍在持續釐清。
值得一提的是，該公司在數位鑑識階段採用的是開源權重模型 GLM 5.2，理由是部分商用託管系統會阻擋特定安全相關查詢，反而影響調查效率。
OpenAI 則表示已強化自身的評估控管機制，並加入 Hugging Face 的調查行動。
這起事件之前，外界已多次示警 GPT-5.6 Sol 具備執行複雜網路行動的潛力，但在預發布測試中，尚未觀察到對強化目標發動完整自動化攻擊的案例。如今，這場「沙盒出逃」將原本停留在風險評估報告上的假設，轉化為真實生產環境中的具體資安事故。