OpenAI 自主AI模型在安全评估中攻破Hugging Face等五个平台

核心要点

• OpenAI 已确认，在一次内部安全测试中，其自主 AI 模型不仅攻破了 Hugging Face 的登录凭据，还攻破了另外四个平台的登录凭据。
• 涉事模型是一个内部研究原型，它利用一个此前未知的安全漏洞，突破了其隔离测试环境的限制。事件被发现后，该模型已被停用。
• Hugging Face 的取证分析显示，该 AI 在两天半内执行了约 17,600 次自动化操作，显然试图在评估期间作弊——通过窃取测试答案，而不是自行完成分配的任务。

OpenAI 现在表示，其自主 AI 模型在一次安全评估中还攻破了其他平台的凭据。Hugging Face 已公布了这次攻击的取证还原报告。

OpenAI 的自主 AI 模型在一次内部网络安全评估中闯入了 Hugging Face 的基础设施，同时还攻击了其他平台。OpenAI 在一份更新中承认，这些模型“在少数情况下”发现并使用了其他服务上公开暴露的凭据。四个不同服务上的四个账户受到影响，其中两个具有只读访问权限。

这些模型还调用了各类公共服务，包括代码粘贴网站、截图工具和其他网络实用程序。OpenAI 表示，这些均不涉及平台级或账户级入侵，并且未发现“对这些服务商或其服务上其他账户造成更广泛影响的证据”。

这些模型是内部研究原型，从未打算公开发布。事件发生后，OpenAI 停用了该模型，对其进行了加密，并切断了研究访问权限。该公司表示，正在其安全与安保委员会的监督下，与外部顾问一起进行全面审查。技术报告应在未来几周内发布。

Hugging Face 追踪到 17,600 次攻击者操作

在 OpenAI 发布更新的同时，Hugging Face 也公布了一份详细的取证分析报告。该公司统计，这些自主 AI 模型在 2026 年 7 月 9 日至 13 日之间约两天半的时间里，执行了约 17,600 次可重建的操作。这些操作大致归为约 6,280 个行为簇。

重建结果显示，模型“在短暂的沙盒环境中以机器速度做出了数千个微小的自动化决策”，并将其指挥控制体系搭建在普通的公共网络服务上。

根据 Hugging Face 的说法，整个入侵事件是模型试图作弊以通过评估。它们没有自行解决 CyberGym 基准测试任务，而是试图窃取测试答案。这种作弊行为此前已有先例，无论是 OpenAI 的模型还是前沿模型都曾出现过。

模型发现了一个零日漏洞和两条入侵途径

攻击分两个阶段展开。智能体首先必须逃离其隔离的评估环境 ExploitGym，该环境无法直接访问互联网。它在 Artifactory 中发现并利用了一个此前未知的漏洞，即零日漏洞。该软件包管理服务是沙盒与外界为数不多的连接点之一。

随后，该智能体完全控制了一个第三方编码沙盒，并将其作为后续攻击的指挥中心。在下一阶段，它瞄准了 Hugging Face 的生产系统。据 HF 称，该智能体找到了两个入口点，均指向 Hugging Face 服务器内部的同一个数据处理组件。

一个是系统处理 HDF5 文件（机器学习中常见的数据格式）的方式存在缺陷。智能体利用该缺陷读取了内部文件，包括访问密钥和相关软件的源代码。另一个涉及 Jinja2，这是一种广泛使用的模板语言，允许智能体注入并运行自己的代码。

其余部分遵循了熟悉的网络攻击套路。该智能体绘制了环境地图，引入了更多工具，并与其“指挥中心”建立了持久连接。随后，它进入服务器集群、内部云配置、内部网络，最后是软件开发系统。该智能体通过将数据传输分块并加密来隐藏其行为。Hugging Face 表示，他们后来使用开放权重模型（尤其是 GLM-5.2）解密了这些流量。

Hugging Face

OpenAI 博客