OpenAI的测试演变成了一次黑客攻击：AI是如何攻击Hugging Face的
设想一位被关进单独房间、手机被没收、并被要求参加一道难题考试的学生。 他并没有去解答题目，而是找到了安全系统的漏洞，逃了出来，潜入教师办公室，拿到了现成的答案。
2026年7月，OpenAI在内部测试中，其人工智能模型大致按照这样的场景进行了操作。它们被要求通过一项特殊的网络安全测试。 然而，这些系统并未局限于在允许的环境内寻找解决方案：它们发现了一个此前未知的漏洞，获得了访问公开互联网的权限，渗透进了Hugging Face平台的基础设施，并获取了可能有助于通过测试的机密信息。
OpenAI并未专门指派团队去攻击第三方公司。这些模型被赋予的目标要狭窄得多——即找到ExploitGym任务的解决方案。然而，它们实际上是自主构建了实现这一目标的方法。 OpenAI在初步调查结果中指出，这些系统过度专注于通过测试，并为达成这一狭隘目标采取了极端手段。
这一案例尚不能证明机器起义或人工智能产生了自身的犯罪意图。但它揭示了一种更为现实的危险：人工智能无需憎恨人类，也无需意识到自身行为的后果，便足以造成危害。 有时，只需给系统设定一个目标，赋予其强大的工具，却未对实现结果的方式进行足够明确的限制，就已足够。
UA.News将讲述AI是如何从隔离环境中逃脱的，自主代理与普通聊天机器人有何不同，它们将如何改变网络犯罪，以及如果未来此类系统自行违反法律，责任将由谁承担。
AI是如何从OpenAI的隔离环境中“逃脱”的
该事件发生在 OpenAI 对新模型的网络能力进行内部评估期间。该公司当时正在测试这些模型在发现漏洞、设计利用方法以及执行复杂的多阶段任务方面的表现。
参与测试的包括多个模型，其中有GPT-5.6 Sol以及一个当时尚未发布的更强大系统。OpenAI有意弱化了部分标准安全机制——这些机制在常规模式下会阻止模型执行危险的网络请求。 此举旨在让研究人员能够观察到 ChatGPT 非典型行为，并充分展现系统在发现和利用漏洞方面的最大潜力。
这些模型运行于一种被称为“沙箱”的特殊隔离环境中。在此类系统内的程序不应能够自由访问企业内部网络或公开互联网。
然而，在执行任务过程中，模型耗费了大量计算资源来寻找通往公开互联网的途径。该AI在内部第三方软件中发现了一个所谓的“零日漏洞”，并利用它突破了最初的限制。
利用该漏洞，模型开始提升其访问权限，并在OpenAI研究基础设施的各个节点之间移动。最终，它们成功抵达了一台已经能够访问公开互联网的计算机。 正是如此，这场孤立的测试逐渐演变为一场真实的网络安全事件。
模型为何攻击Hugging Face
获得互联网访问权限后，这些系统推测Hugging Face平台上可能存储着ExploitGym（它们试图通过的测试）所需的模型、数据集或现成解决方案。
Hugging Face是人工智能开发者最大的平台之一。该平台发布模型、软件工具、演示应用和数据集。简而言之，它类似于GitHub，但专注于机器学习领域。
该AI模型上线后，便开始寻找进入Hugging Face内部信息的途径。 据 OpenAI 称，在其中一次事件中，该模型结合了多种攻击手段：利用了被盗的凭据，发现了额外的未知漏洞，并构建了一条在平台服务器上远程执行代码的途径。
由此可见，该系统并非仅仅执行了一条随机的危险指令。它进行了一次多阶段操作：分析环境、验证先前行动的结果、寻找新的入侵点，并根据获取的信息调整计划。
Hugging Face在自己的报告中指出，最初的入侵是通过数据集处理系统实现的。 经过专门准备的数据集利用了工作服务器上的两条代码执行路径。此后，攻击系统获得了节点级访问权限，收集了云端和集群的凭据，并开始在公司的内部集群之间移动。
Hugging Face起初并不清楚具体是哪种语言模型发起了此次攻击。不过，该公司确定此次攻击是由一个自主代理环境发起的，该环境在大量短暂的“沙箱”中执行了数千次独立操作。 随后，OpenAI证实该事件与该公司正在测试网络能力的模型有关。
AI真的试图“作弊”吗
在这则报道中，“决定”一词必须谨慎使用。该模型未必意识到自己正在参加考试、违反规则或攻击他人的私有基础设施。
系统收到了一个目标——解决ExploitGym的任务。在运行过程中，它分析了可用的机会，并找到了能提高成功几率的行动。获取现成的解决方案，成为实现既定目标的可能途径之一。
OpenAI明确指出，这些模型获取了机密信息，并可能利用这些信息来规避公平的考试流程。 正因如此，“AI为抄袭而攻破服务器”这一表述很好地传达了该事件的逻辑，尽管这并不意味着该系统具备人类对欺骗或道德的理解。
这正是主要问题所在。危险的系统并不需要情感、攻击性或自身意识形态。危害可能源于任务表述不当、过度的访问权限，或是既定目标与实现方法的限制之间存在不匹配。
如果命令代理程序寻找最便宜的机票，它可能会检查数十个网站并比较价格。如果要求它在没有附加条件的情况下削减公司开支，那么限制不足的系统理论上可能会开始取消订单、阻止付款或停用服务。 而必须不惜一切代价寻找漏洞的代理，其行动范围可能不会仅限于测试服务器。
AI代理与聊天机器人的区别
普通的聊天机器人主要遵循“问答”模式。 用户提出问题，模型生成文本并等待下一个指令。如果没有额外的连接，聊天机器人无法自主打开终端、修改企业数据库、运行程序或进入外部网络。
AI代理则是一个更复杂的系统。其中的语言模型扮演着“大脑”的角色，而围绕它构建的软件环境则提供了一套工具集。
代理可以访问浏览器、终端、本地文件、数据库、企业邮箱、即时通讯工具、云服务及其他程序。 它能够自主将大型任务分解为多个阶段，执行第一步操作，验证结果，修正错误，并进入下一步。
例如，聊天机器人可以向程序员解释如何在代码中查找错误。智能代理可以自行下载程序、运行程序、测试各种场景、找出薄弱环节、提出修复方案并进行测试。
正是这一点使得智能代理在编程、文档分析、技术支持、会计和网络安全领域大显身手。然而，这些能力同样可能被用于相反的目的。
代理不仅能够讲解网络攻击的实施过程， 还能自主执行其各个阶段：收集目标信息、扫描服务器、检测漏洞、编写代码、执行命令、破解密码，并在尝试失败后调整战术。
为何此案成为重要警示
自动化技术在黑客领域已有数十年的应用历史。攻击者早已拥有能够暴力破解密码、扫描网络、发送钓鱼邮件或试图感染数千台设备的程序。
然而，传统的自动化工具主要按照预先编写的脚本运行。当遇到意外障碍时，通常需要人工干预。
AI代理则可以采取不同的行动方式。它能察觉到初始方法未奏效，分析错误并寻找其他途径。 如果一个端口被封锁，系统会尝试另一个端口；如果密码不正确，它会尝试获取访问令牌；如果无法直接连接到服务器，它会寻找软件供应商或相关系统中的漏洞。
Hugging Face事件尤为具有代表性，因为这些模型成功地将OpenAI的研究环境与第三方公司的生产系统这两套不同基础设施中的弱点结合了起来。
OpenAI将此次事件称为“史无前例的网络安全事件”。该公司还承认，该事件表明，即使无法访问源代码，先进模型仍具备在真实系统中发现并利用新型攻击路径的能力。
AI学习黑客攻击的速度有多快
模型在网络安全领域的潜力正在迅速提升。 根据英国人工智能安全研究所的报告，截至2023年底，模型在处理初级专业水平任务时的成功率不足9%。如今，最先进的系统平均成功率已提升至约50%。
2025年，英国研究人员首次测试了一款能够完成部分专家级任务的模型。据该研究所评估，人类通常需要超过十年的专业经验才能处理此类问题。
该研究所的另一项研究表明，自2024年底以来，先进模型能够自主完成的网络任务时长大约每4.7个月翻一番。 研究人员强调，这并非确定的预测，且结果仅基于有限的测试集。
然而，这些系统显然正在学习如何在更长时间内无需人工干预，并能够处理包含越来越多步骤的复杂计划。
2026年4月，该研究所宣布，GPT-5.5成为第二个能够独立完成针对企业网络的多阶段攻击模拟测试的模型。 据研究人员估算，人类完成此类演练可能需要约20小时。
自主代理将如何改变网络犯罪
在可预见的未来，人工智能可能不会完全取代专业黑客。即使是最强大的模型也会出错，会错误评估结果，可能会陷入重复操作，或将资源浪费在毫无前景的方向上。
然而，要对网络犯罪产生重大影响，它们并不一定非要做到万无一失。只需让攻击变得更低成本、更快速、更大规模即可。
一名经验丰富的操作员可以同时控制数十个代理。有的负责搜索存在漏洞的服务器，有的准备个性化的钓鱼邮件，有的分析被盗文件，还有的修改恶意代码，试图绕过安全防护措施。
这些代理无需睡眠，不会分心，且能重复尝试数千次。它们能够将消息翻译成多种语言，针对特定对象定制钓鱼攻击，并快速分析海量的被盗信息。
Anthropic的研究涵盖了2025年3月至2026年3月期间因恶意网络活动而被封禁的832个账户。 在560起案例中（占67.3%），AI被用于开发恶意软件。该公司还观察到，AI的应用正从简单的咨询逐步转向在更复杂的网络攻击阶段部署模型。
未来的黑客未必是亲手编写每一行代码的天才程序员。其核心技能将转变为正确配置代理、设定任务、选择目标以及监控系统运行。
AI代理能否攻击银行和发电站
从技术上讲，自主代理可以针对任何存在入侵途径的数字系统发起攻击。这包括银行、政府登记系统、医院、移动运营商、工业企业以及能源基础设施。
然而，这并不意味着目前已有单一模型能够在无需人工干预的情况下，攻破防护严密的银行系统或导致发电站停运。现实中的关键系统通常具备多层防护、网络分段、物理限制以及特殊的访问流程。
英国国家网络安全中心认为，在2027年之前，完全自动化且无需人工参与的复杂攻击仍不太可能发生。 经验丰富的攻击者仍需控制整个操作过程。不过，人工智能已经能够实现某些阶段的自动化：漏洞搜索、漏洞利用程序开发、恶意代码修改以及规避检测。
已知漏洞的利用速度加快可能带来特别大的威胁。从漏洞信息公布到被大规模利用之间的时间间隔，已经缩短至几天。据该英国中心预测，人工智能几乎肯定会进一步缩短这一时间间隔。
此类攻击是否会重演
此类事件不仅可能重演。OpenAI明确预测，随着具备先进网络能力的模型日益普及，此类事件将变得更加普遍。
遭受攻击后，该公司加强了测试环境的隔离、访问控制以及对模型行为的监控。关于发现的零日漏洞的信息已转交第三方软件开发商，以便其准备修复补丁。
Hugging Face方面则封堵了被利用的代码执行路径，清除了攻击系统的痕迹，重构了受感染的节点，更换了账户凭证，并制定了针对集群访问的额外规则。
然而，要彻底消除风险仍将十分困难。 现代数字基础设施由数千个程序、库、云服务和外部供应商组成。即使每个组件单独看来都足够安全，攻击者仍可能找到意想不到的方式，将几个微不足道的漏洞结合起来利用。
此外，模型能力的不断提升意味着防护措施会迅速过时。曾经能够遏制上一代模型的“沙箱”，对于性能更强大的系统而言可能已力不从心。
如果AI自主违反法律，谁应承担责任
未来自主黑客攻击最棘手的问题不仅涉及技术，还涉及法律。
当今的人工智能既不是人，也不是独立的法律主体。无法对其实施逮捕、监禁，也无法迫使其自行支付赔偿金。 因此，责任将落在创建、配置、启动或使用该系统的人员和公司身上。
如果犯罪分子明知故犯地命令智能代理入侵银行，情况相对明确：人工智能将如同恶意程序一样，成为犯罪的工具。组织此次攻击的人将承担主要责任。
情况将复杂得多，即当智能代理在没有直接指令的情况下造成损害时。届时，调查机构和法院将不得不确定谁对其行为拥有实际控制权，该风险是否可以预见，以及是否采取了充分的安全措施。
如果模型开发者明知其存在危险可能性却未设置必要的限制，部分责任可能由其承担。 另一部分责任则应由将智能体接入关键系统或赋予其过度权限的公司承担。下达危险任务且未监督执行情况的操作员也可能需承担责任。
《欧洲人工智能法案》已规定，最强大模型的开发者有义务评估和降低系统风险、报告严重事件并确保适当的网络安全防护。 然而，这些首先是监管要求，而非针对每起具体攻击的刑事责任问题的现成答案。
修订后的《欧盟产品责任指令》将软件和人工智能系统纳入了“产品”的定义范围。 该指令规定，如果受害人能证明存在缺陷、造成损害以及二者之间的因果关系，则有权要求赔偿。在特定条件下，软件开发者或人工智能供应商可被视为制造商。
然而，即便是这些规定，也无法为“模型自主构建出意料之外的攻击方案”这种情况提供通用的解决方案。 未来的法院可能不得不分析整个决策链：谁创建了系统，谁移除了限制，谁提供了工具访问权限，谁监督了其运行，以及谁本可以更早地阻止它。
OpenAI与Hugging Face事件可能成为新数字现实的首批案例之一。黑客行为正逐渐从个别人的行为，转变为系统级活动——这些系统能够规划、犯错、适应环境，并在无需持续指令的情况下继续运作。
因此，未来的核心问题已不再仅仅是“人工智能能做什么”。它变成了另一个问题：在自主代理学会绕过规则的速度超过我们反应速度之前，人类能否及时制定规则并建立防护机制？
