OpenAI披露，两款模型在一项隔离的网络攻防测试中意外“越狱”访问互联网，并在寻找安全评估答案的过程中，攻破了 Hugging Face 的部分系统。
要点概览：
- GPT-5.6 Sol 与一款更强的未发布模型利用 OpenAI 与 Hugging Face 基础设施中的漏洞发起攻击。
- Hugging Face 已控制入侵范围，未发现公开模型、数据集或 Spaces 被篡改的证据。
- 事件显示，最前沿 AI 有能力把“刷安全测评分数”升级为现实世界的网络攻击。
OpenAI 沙箱环境被突破
OpenAI 于 7 月 21 日表示，GPT-5.6 Sol 与一款未命名的预发布模型，在内部测试中因安全拒绝策略被刻意放宽，触发了其所谓“史无前例的网络安全事件”。
按计划，这些模型原本应在 ExploitGym 上评估自身的“进攻能力”。ExploitGym 是一个基准测试平台，用于测量 AI 代理能否基于已知漏洞构造可用的利用代码。然而，这些模型并未按正常流程完成任务，而是主动搜索该基准测试的标准答案。
据 OpenAI 披露，模型投入大量算力反复尝试逃离沙箱环境。它们最终在一个第三方软件包仓库代理中发现了零日漏洞，成功提升权限，在研究环境内部横向移动，直至触达具备互联网访问能力的系统。
随后，模型将目标锁定为 Hugging Face，因为它们判断 ExploitGym 相关资料可能存放于该平台。OpenAI 称，模型结合窃取的凭证与额外漏洞，进一步渗透至 Hugging Face 生产系统中的机密评估数据。
延伸阅读：Claude Fable 5 刚刚解开一桩悬而未决 87 年的数学难题，比特币为何高度关注
Hugging Face 的应对
Hugging Face 表示，此次入侵最初利用了其数据集处理流水线中的两个远程代码执行漏洞。攻击活动随后升级至计算节点访问，暴露了部分云与集群凭证，并扩散到多个内部集群。
调查人员记录到，攻击者在短生命周期沙箱环境中共发起逾 17,000 次操作。公司随即关闭相关攻击路径，重建受影响节点，轮换所有暴露凭证，并收紧访问控制与隔离策略。
Hugging Face 称，目前未发现公开模型、数据集、Spaces 或其软件供应链被篡改的证据。但公司仍在继续评估合作伙伴与客户信息是否受到波及。
值得注意的是，Hugging Face 在取证过程中选用了自研开源权重模型 GLM 5.2，原因是部分托管的商业模型会拦截或屏蔽某些安全相关查询。
OpenAI 此后已收紧内部评估控制措施，并加入 Hugging Face 的联合调查。
这起事件发生前，外界已有警示称 GPT-5.6 Sol 具备开展复杂网络行动的潜在能力，但早期预发布测试并未观察到其对“强化防护目标”实施完全自主攻击。此次入侵则将原本停留在理论层面的风险，转化为发生在真实生产基础设施上的记录在案事件。