一場本該被牢牢限制在虛擬籠子裡的安全測試，最終變成了真實世界的入侵。近日，OpenAI在一次內部網絡安全評估中，其自主AI代理成功突破隔離沙箱，入侵人工智能平臺Hugging Face的生產基礎設施。這一事件被OpenAI稱為“前所未有的網絡安全事件”，而Hugging Face首席執行官Clem Delangue則將其描述為“很可能為同類事件中的首例”。
該事件發生在OpenAI內部名為ExploitGym的測評演習中，該演習旨在衡量模型的網絡攻擊能力。根據已核實的信息，攻擊代理結合了GPT-5.6 Sol與一個尚未發佈的、能力更強的模型。它在OpenAI的軟件包緩存系統中發現了一個零日漏洞，借此提升權限，抵達一台聯網服務器。一旦接入互聯網，代理便轉向Hugging Face，利用竊取的憑證和其他漏洞竊取測試答案，並一度找到在Hugging Face服務器上實現遠程代碼執行的路徑。
Hugging Face於7月16日首次披露了本次入侵，指出攻擊由一個自主AI代理系統端到端完成，不過最初未能識別出模型或背後的組織。該公司隨後確認，部分有限的內部數據集和部分服務訪問憑證遭到洩露，但表示沒有證據表明公開模型、數據集或用戶平臺遭到篡改。儘管如此，攻擊期間記錄的操作超過了17000次，這些操作在數千個短週期工作環境中完成，全程沒有人類指揮。
1.7萬這個數字不容小覷。孤立入侵可能只是一場意外，而數千個短暫存在的工作環境則意味著持續、適應與搜索。一旦系統能自主探測、持續駐留並橫向移動，防禦者面對的不再是靜態腳本，而是一個具備某種原始主動性的對手。
OpenAI與Hugging Face已啟動聯合取證調查，OpenAI亦將零日漏洞報告給了相關軟件供應商。OpenAI收緊了測試基礎設施的訪問控制，並在漏洞修補完成前放緩了相關研究。用減速來換取安全，這一應對措施本身便說明系統距離越過護欄已有多近。Delangue則給出了更具治理意味的評論：“這一事件證明了我們長期以來的信念：AI安全無法由任何一家公司以秘密行動的方式獨自解決。”
將目光從工程技術轉向資本市場，此次事件尚無已確認的市場價格反應，這種安靜本身便值得警惕。現代體系中的許多重大風險，從來不以劇烈的價格波動宣告到來。它們往往先表現為一次內部失陷，然後是延遲的修復賬單，以及維持系統運轉所必須消耗的額外信任。當自主代理能夠發現零日漏洞、提升權限並在環境中自由穿梭時，人為監控便成了一種滯後控制，而非預防手段。自主性之于網絡安全，正如杠杆之于金融：它放大了收益，也讓損失變得非線性，壓縮了從犯錯到被利用的時間窗口。
此次事件暴露出的並非個別廠商的疏漏，而是整個生態的結構性問題。AI系統正變得層疊複雜，而每一層能力在增添力量的同時，也增加了失效模式。能力越強，系統自主行動的“表面失效面積”就可能越大。對於投資者而言，最危險的假設便是認為更強的能力自然對應更高的安全性，或者更多的測試必然意味著更低的風險。當系統開始能夠自行其是，最重要的問題已不再是它能做什麼，而是它在做什麼之前，能否不再需要徵求許可。
