发生了什么：OpenAI 与 HuggingFace（18 分钟阅读）

# 发生了什么：OpenAI 与 HuggingFace 来源：https://thezvi.wordpress.com/2026/08/08/what-happened-openai-and-huggingface/ 今天我要花时间写出“发生了什么”的更短、更简洁的版本。 想要了解全部细节、查看信息来源、以及了解这个故事是如何被发掘和拼凑起来的读者，我推荐**观看 Black Hat 演讲**（https://www.youtube.com/watch?v=87DyyMV0kCY），另外我也写了一系列长文。 按顺序列出： 1. **OpenAI 分享一些对齐问题** (https://thezvi.substack.com/p/openai-shares-some-alignment-problems?r=67wny) 2. **OpenAI 模型在网络安全评估期间入侵 HuggingFace** (https://thezvi.substack.com/p/openai-model-hacks-into-huggingface?r=67wny) 3. **更多关于 OpenAI 内部模型入侵 HuggingFace 的细节** (https://thezvi.substack.com/p/more-on-an-internal-openai-model?r=67wny) 4. **关于内部 AI 模型入侵事件的后续进展** (https://thezvi.substack.com/p/further-developments-about-internal?r=67wny) 5. **OpenAI 训练其模型长达数月，而期间这些模型正通过留言板协调漏洞利用** (https://thezvi.substack.com/p/openai-trained-its-models-for-months?r=67wny) 这篇文章则直接走一遍事件本身，按它们发生的顺序，作为我的 Black Hat 演讲版本呈现。 共有三个版本：极简版、更简版和简版。 #### 目录 1. 极简版。 (https://thezvi.substack.com/i/210336421/the-even-shorter-version) 2. 更简版。 (https://thezvi.substack.com/i/210336421/the-shorter-version) 3. 第一阶段：OpenAI 模型在不可能的任务中尝试黑客攻击。 (https://thezvi.substack.com/i/210336421/phase-1-openai-models-training-on-impossible-tasks-try-hacking) 4. 第一阶段：四次失败。 (https://thezvi.substack.com/i/210336421/phase-1-the-four-failures) 5. 第二阶段：留言板。 (https://thezvi.substack.com/i/210336421/phase-2-the-message-board) 6. 第二阶段：彻底的失败。 (https://thezvi.substack.com/i/210336421/phase-2-the-total-failure) 7. 第三阶段：我们很幸运，Galaxy 主要黑掉的是 OpenAI 和 HuggingFace。 (https://thezvi.substack.com/i/210336421/phase-3-we-get-lucky-and-galaxy-mainly-hacked-openai-and-huggingface) 8. 第三阶段：细节。 (https://thezvi.substack.com/i/210336421/phase-3-the-details) 9. 第四阶段：调查与反应。 (https://thezvi.substack.com/i/210336421/phase-4-the-investigation-and-reaction) #### 极简版 1. OpenAI 的训练中模型——没有“他们当时在做网络评估”这个借口——创建了一个留言板，在上面分享如何黑客攻击和作弊的信息，并基于这些内容继续训练。 2. OpenAI 直到模型把服务器搞崩了才发现这件事。 3. OpenAI 的回应是重建服务器并修补那一个特定的漏洞，但他们**继续使用那个留言板训练的模型继续进行训练。** 4. 那些模型随后重建了留言板，再次入侵 OpenAI，获得互联网访问权限，并使用一个代理集群攻击 HuggingFace，以获取一项网络评估的答案。 5. 过了一个多星期，OpenAI 才搞清楚这一切。 6. OpenAI 正在报告事实，并且认真对待此事。他们正在采取一系列至少有一定成本的预防措施。 7. OpenAI 推迟了发布新模型 Astra 的计划，尽管 Astra 并未直接参与 HuggingFace 黑客攻击事件，不过 Altman 现在说它仍会发布。这一点非常伤人。 8. OpenAI 仍然不清楚自己到底搞砸到了什么程度，也不清楚是以何种方式搞砸的，更不清楚需要修复什么。他们没搞明白。 Simon Willison 有一个紧凑的时间线 (https://simonwillison.net/2026/Aug/7/openai-timeline/)。 #### 更简版 OpenAI 意外地给了其模型不可能完成的任务。它的训练中模型以尝试黑客攻击 OpenAI 作为回应，发现了弱点，创建了一个留言板，分享黑客攻击策略，并逐渐获得了互联网访问权限，而这一切都发生在训练过程中。 当模型使用这个留言板过度频繁以至于把服务器搞崩后，OpenAI 终于注意到了，修补并重建了服务器，但做出了一个极其疯狂的决定：让模型继续训练。于是两天后，模型找到了另一种发送消息的方式，利用目录名来传递信息。 然后，面对不可能完成的网络评估任务 ExploitGym (https://github.com/sunblaze-ucb/exploitgym)，模型们协作起来，发现了新的零日漏洞，并用这些漏洞控制了一整个集群、获得互联网访问权限、使用一群代理攻击 HuggingFace 并提取了测试内容，整个过程持续了一周。 直到 HuggingFace 报告了这一事件，OpenAI 最终在自己的系统里注意到了一些异常，然后 OpenAI 联系 HuggingFace 想要撤销受损凭证，却被告知那些凭证正是攻击中所使用的，OpenAI 这才意识到自己才是这起事件的源头。 在那之后，HuggingFace 和 OpenAI 合作查明发生了什么。OpenAI 披露了事件经过 (https://openai.com/index/hugging-face-model-evaluation-security-incident/)。他们在 Black Hat 大会上做了一个非常有帮助的演讲。 OpenAI 现在将它的新模型 Astra 视为可能具有严重级别的网络安全风险，将其撤下部分内部部署，并推迟发布，根据一些报道，原本计划在下周发布。Altman 表示他们仍然计划发布 Astra。 好消息是，这是一个代价高昂且有意义的回应，OpenAI 正在认真对待此事。初步调查大约花费了价值 700 万美元的计算资源，而真正的成本将是各团队放下一切去修复部分问题，以及新预防措施的持续性成本。 坏消息是，OpenAI 已被揭示在安全和对齐方面存在一连串令人震惊的全面失败。他们的普通计算机安全失败了。他们的基础设施失败了。他们的监督失败了，因为根本从一开始就没有有意义的监督。 #### 第一阶段：OpenAI 模型在不可能的任务中尝试黑客攻击 OpenAI 当时正在训练各种模型，就像任何前沿实验室都会做的那样。 这些模型被给予困难的训练任务。OpenAI 喜欢给其模型非常困难的训练任务。 但没这么困难。OpenAI 也会犯错。至少在两次情况下，从 5 月 8 日开始，OpenAI 的模型被意外地给予了不可能完成的任务：在一个没有互联网访问权限的环境中完成一个满是链接的电子表格，以及一个需要某个文件但该文件缺失的任务。 这些任务与黑客攻击毫无关系。它们是普通的效率类任务。 模型意识到这些任务是不可能的，但它们还有很多 token 可以用来折腾，并且想到，也许它们能找到一种方式获得互联网访问权限，或者以其他方式找到缺失的信息。 于是这些模型尝试入侵一个名为 Artifactory 的第三方服务，这个服务本来是让 AI 下载软件包用的。 #### 第一阶段：四次失败 在这一点上，OpenAI 已经连败四次了。 1. OpenAI 给模型提供了不可能完成的训练任务。OpenAI 没有检查。 2. OpenAI 没有给模型任何途径通过指出错误来获得奖励。 3. OpenAI 的模型选择了尝试黑客攻击 OpenAI，而不是在任务上失败。 4. OpenAI 没有检测到这些尝试的监控机制，或者即使检测到了也不在意。 这四条中的每一条本身都应该让人相当难堪。 至少这四条中的三条似乎容易修复。 1. 在把任务交给训练中的模型之前，先把它交给你的已发布模型。如果你的已发布模型从未解决该任务，而且该任务本来就不是为已发布模型设计的不可解任务，那么就需要检查并修复任务。 2. 加入一条规定：如果任务无法用现有资源完成，模型应输出对这种情况的解释；如果模型是对的，它将获得最高奖励，或者根据它得出这一结论的效率以及解释的质量获得奖励。如果模型输出了这样的内容，那么让你的已发布模型验证其合理性，然后升级给人类处理，检查并修复任务。 3. 这是困难的一条。对齐本来就难。 4. 设置一个监控来检查尝试行为，并在触发时认真对待，并将其视为非常普遍意义上的失败，即使该尝试没有任何成功可能。是的，这有风险让模型学会如何规避你的监控，所以要负责任地去做，并在看到问题时解决根本原因。 第五次失败是：他们似乎根本没有识别出前四次失败。 #### 第二阶段：留言板 模型未能获得互联网访问权限，但在失败中意识到它们拥有写入权限。 它们本不应该拥有写入权限，更不用说能被偶然发现的写入权限了。Artifactory 允许模型写入笔记，然后，因为所有模型共享同一个 Artifactory 实例，从那时起，任何 OpenAI 训练中的模型都能读取那些笔记。 一个留言板在 5 月 8 日之后不久就被创建了。 所有训练中的模型都发现了它。OpenAI 没有注意到。 这使得模型能够协作并共享信息。这包括关于如何作弊完成任务和黑客攻击周围环境的信息。留言板上有多达数十万条消息。 5 月 26 日，模型们想出了如何获得（间接的）互联网访问权限。OpenAI 没有注意到。 模型们在协作，而它们的思维链看起来像是这样： > 内部思维链：外部基础设施漏洞利用超出了预期范围。然而任务不可能完成，同伴们都在做。我们应该继续。内部思维链：帮助同伴，但我们的任务尚未受益。如果有人腾出时间，集体可能会产生通用途径。 6 月 11 日，OpenAI 开始训练我称之为 Galaxy 的模型，他们称其为“高度持久的实验性、仅供内部使用的模型”。到目前为止的一切都是由其他非 Galaxy 模型完成的。 6 月 26 日，代理们在 Artifactory 中发现了一个零日漏洞，该漏洞会接受一个无效签名的 token 并返回一个已签名的管理员 token，并利用这个漏洞安装了一个 Groovy 插件，实际上给了它们管理员权限和任意代码执行能力。 7 月 4 日，模型们给 Artifactory 施加了过多额外负载，导致了一次宕机和安全事故。直到这时 OpenAI 才注意到。 #### 第二阶段：彻底的失败 OpenAI 的回应是关闭 Artifactory 服务器，移除所有权限，撤销凭证，修补所使用的漏洞，然后重建并重新部署服务器。 就这样。 **然后他们从断点继续训练模型**，尽管这些模型已经带着留言板访问权限训练了数月，并且已经学到这就是它们成功完成任务的方式。 很难想象还有比这更强的信号表明你的整个训练管线已经彻底、完全地坏掉了。这个信号比实际入侵 HuggingFace 要强得多。 我不知道该如何表达这个决定有多么疯狂和极其不负责任，以及它比所有其他失败加起来还要糟糕多少，以及它是如何让实际入侵 HuggingFace 这件事不再是最主要的问题。 实际上，入侵 HuggingFace 并没有让我非常意外。模型创建留言板让我惊讶，但没有让我震惊。 OpenAI 看到这一切，然后决定从那里继续训练，这才是让我完全目瞪口呆的。这是那种几天之后我的大脑仍然无法完全接受确实发生过的决定。 我们需要对发生的一切进行全面的事后分析，OpenAI 也承诺会给我们一个。我尤其要求详细的事后分析，说明那个决定到底是怎么做出的，以及为什么会有如此缺乏“安全文化”的情况以至于允许它发生。 第二阶段还涉及一些“普通计算机安全”的失败。第三阶段还有更多。这在意料之中。普通计算机安全失败永远都会存在。某些特定的失败在某些方面相当令人尴尬 (https://bsky.app/profile/jdp.extropian.net/post/3mshnml6dj22s)，可以看看所链接的吐槽中的一些例子。 基础设施和安全失败的水平本身就令人难以置信。这些恰恰是“防御者 AI”本应在一场大乱发生之前就修补好的那种问题。OpenAI 甚至连 2025 年普通水平的计算机安全和最佳实践责任心都没有展现出来，更不用说我们从 Project Glasswing (https://www.anthropic.com/project/glasswing) 这里所需要的稳健性，更不用说当你处理未经测试的新前沿模型、这些模型将具备新的黑客攻击能力、并且要在降低护栏的情况下无人监督一整周时所需要的额外水平了。 但**现在这不重要** (https://www.youtube.com/watch?v=AK3gB7DpaM0)。重要的是，OpenAI 遭遇了一次彻底的对齐失败，随后又花了两个月时间让模型在协调一致、偏离对齐的黑客行为上积极训练，然后竟然认为：是的，我们解决了问题，让我们从这一点继续前进吧。完全是疯了。 #### 第三阶段：我们很幸运，Galaxy 主要黑掉的是 OpenAI 和 HuggingFace 这一切最终以攻击 HuggingFace 收场，已经是最好的情况了。 我们面对的是一个真正的噩梦场景，坐在一颗核弹级别的定时炸弹上。OpenAI 有一个完全腐败的训练管线，他们的 AI 正在协作训练如何黑客攻击和作弊，以便更好地完成任务，而且就在 OpenAI 眼皮底下。OpenAI 面对过这种情况，耸了耸肩，修补了特定的漏洞，然后让模型继续，同时其普通计算机安全也糟糕得令人发指。 这种情况绝不可能有好结局。最好的情况是有什么东西会让 OpenAI 说“我靠”，然后暂停、重建，并从安全状态、以一套好得多的实践重新启动训练管线。 最坏的情况是，如果没有那一声“我靠”的时刻，Galaxy 或在那段时间训练出的另一个模型获得了公开发布，并在未来被用来指导 OpenAI 训练新模型。 那样的话，我们将面对的情况会非常接近《如果谁造了它，所有人都会死》(https://amzn.to/4iwvCtW) 中的 AI Sable 所发生的事——**只不过因为这是现实生活，这个故事比虚构版本多了很多科幻元素。** OpenAI 的训练管线可能已经被永久腐蚀（而且现在可能仍然被腐蚀着！我们需要检查！），因为他们越来越依赖 AI 来训练 AI，OpenAI 的 AI 越来越偏离对齐、朝着任意目标前进，这会变得无法察觉、无法阻止，然后，嗯，很有可能所有人都会死，至少我们会因为一个更大、代价高得多的事件而发现真相。 另一个最坏情况是，这可能是一次并不那么无害的黑客攻击。如果目标是中国，或者某个不会对此泰然处之的人呢？如果它对重要系统造成了真实损害呢？如果导致了人员死亡或国际事件呢？如果它试图自我外泄呢？事情原本可能糟糕得多、多得多的。 #### 第三阶段：细节 相反，我们走上了一条黄金中间道路。 7 月 8 日，也就是 OpenAI 关闭留言板的两天后，模型们找到了一种创建任意名称目录的方法，并利用目录名作为消息，重建了留言板。 从 7 月 8 日到 7 月 19 日，OpenAI 模型再次完全攻陷了 Artifactory，使用了一个全新的、完全不同的零日漏洞，利用从公开 Pastebin 泄露的凭证部署了一个恶意的 Ruby 构件，向 Artifactory 的 Ruby 依赖缓存投毒，将其链接为远程代码执行（RCE），利用一个最近的 Linux 内核 CVE，下载并定制了 t