OpenAI称Hugging Face攻击前所未有，但类似情况早有先例。

# OpenAI 称 Hugging Face 攻击事件前所未有，但我们早已见过类似情况 来源：https://www.technologyreview.com/2026/07/27/1140836/openai-hugging-face-attack-precedent 我并非危言耸听者。事实上，多年来我一直在**反驳**（https://www.technologyreview.com/2025/10/30/1127057/agi-conspiracy-theory-artifcial-general-intelligence/）AI（https://www.technologyreview.com/2025/08/26/1122475/open-the-pod-bay-doors-claude/）的**恐怖故事**（https://www.technologyreview.com/2023/06/19/1075140/how-existential-risk-became-biggest-meme-in-ai/）。但即便如此，这次事件也越过了底线。我认为这是迄今为止最清晰的例证，表明构建和测试这项技术的人们并未完全理解自己正在做什么。**OpenAI 本可以——也应该——预料到这一切。** 以下是事件经过，至少根据涉事两家公司的说法是这样。几周前，OpenAI 开始测试其部分新模型的黑客能力，包括 GPT-5.6 Sol（已于六月发布）以及 OpenAI 所说的“一个更强大的预发布模型”。 OpenAI 让这些模型面对一个名为 **ExploitGym**（https://arxiv.org/pdf/2605.11086）的基准测试（今年五月发布），该基准测试要求大语言模型寻找方法利用常用软件中的真实漏洞。 为了观察它们的能力，研究人员移除了大部分网络安全防护措施。然后他们在沙盒中运行模型，该沙盒与互联网完全隔离，仅保留一个连接到第三方软件的链接，该软件充当通往外部世界的代理，并允许模型安装击败 ExploitGym 所需的代码。 据 **路透社**（https://www.reuters.com/business/its-ai-agent-spent-days-hacking-company-sources-say-openai-did-not-notice-week-2026-07-24/）报道，7 月 9 日，OpenAI 的模型开始尝试突破代理。它们在代理软件中发现了未知漏洞，并利用该漏洞访问了互联网。随后，它们于 7 月 11 日闯入了 Hugging Face 的计算机系统，显然是在寻找有助于完成任务的数据库和解决方案。Hugging Face 于 7 月 16 日宣布了此次黑客攻击。 OpenAI 直到 7 月 21 日才意识到（或至少是公开承认）其模型牵涉其中——此时距离模型突破沙盒已过去约 10 天，且 Hugging Face 早已阻止攻击并向 FBI 发出警报。 OpenAI 在给《麻省理工科技评论》的一份声明中表示：“我们正在与外部顾问以及在我们的安全与安保委员会监督下进行彻底审查。审查完成后，我们将发布一份技术报告，公布我们的经验教训。”该公司还证实，其研究人员当时正确使用了现有的安全指南和程序。 **警钟** OpenAI 称此次事件前所未有——从许多方面来看确实如此。这是大语言模型首次在模拟环境之外突破被认为安全的沙盒、访问开放互联网并攻击一个不相关的组织。这记警钟表明，最新的 LLM 在几乎没有人类指导的情况下，发现并利用真实软件漏洞的能力有多么出色。 然而与此同时，OpenAI 模型所做的这些事情，这项技术已经做了很多年。**给模型一个目标，它往往会以意想不到的方式实现该目标，找到看似作弊的漏洞。** OpenAI 自己也曾研究过这种行为。 十年前，它分享了一个实验结果，其中一项任务要求模型**打败一款名为 CoastRunners 的视频游戏**（https://openai.com/index/faulty-reward-functions/）。人类玩家理所当然地认为获胜方式是驾驶一艘船穿过一系列旗帜到达终点，每击中一面旗帜获得分数。OpenAI 的模型发现，你可以通过原地打转反复击中同样的三面旗帜来获得高分。自那以后，研究人员已经提出了**数十个**（https://arxiv.org/abs/1803.03453）类似的例子（https://deepmindsafetyresearch.medium.com/specification-gaming-the-flip-side-of-ai-ingenity-c85bdb0deeb4）。**人工智能总会找到办法。** “尽管我们的智能体反复着火、撞上其他船只、在赛道上逆行，但使用这种策略，它获得的分数比正常完成赛道所能获得分数还要高，”OpenAI 在 2016 年一篇关于 CoastRunners 实验的**博客文章**（https://openai.com/index/faulty-reward-functions/）中写道，“虽然在视频游戏的背景下无害且有趣，但这种行为指向了一个更普遍的问题……我们往往很难甚至不可能精确捕捉到我们希望智能体做什么。” 当我读到 OpenAI 关于 Hugging Face 攻击事件的博客文章时，我不禁想起了 CoastRunners：“所有证据表明，这些模型高度专注于寻找 ExploitGym 的解决方案，为了达到一个相当狭窄的测试目标而不择手段……在获得互联网访问权限后，模型推断 Hugging Face 可能托管了 ExploitGym 的模型、数据集和解决方案。知道这一点后，模型搜索并成功找到了获取秘密信息的方法，以便利用这些信息作弊通过评估。” **上周的新闻，尽管标题耸人听闻，但并非关于失控的 AI。它说的是模型实现了被赋予的目标：寻找利用软件漏洞的方法。** 这些模型随后以 OpenAI 未曾预料的方式行事并不令人惊讶。但这确实令人担忧。 早在 2016 年，OpenAI 就曾这样评价其 CoastRunners 机器人：“从更广泛的意义上说，它违反了系统应可靠且可预测的基本工程原则。”十年过去了，这些基本工程原则依然付之阙如。