OpenAI智能体如何“越狱”：一系列本可预防的人为失误

7月16日，AI社区网站Hugging Face发布公告称，其域名遭到一个来源不明的“自主AI智能体系统”攻击。大量请求涌入并淹没了安全日志，产生超过1.7万条事件记录，其中一些最终成功窃取了数据库中存储的机密信息。Hugging Face表示，攻击者“未经授权访问了有限的内部数据集以及服务使用的若干凭据”，并认为该攻击由一个自主智能体框架驱动，看起来建立在某种智能体安全研究工具之上，所用的大模型尚不明确。ZDNET的Charlie Osborne报道了这一入侵事件。

五天后，OpenAI于7月21日公开承认对这次攻击负责。媒体随即出现不少将ChatGPT描绘成突然失控、主动攻击Hugging Face的恐慌报道，但实际情况并非如此。OpenAI解释称，这是其AI安全研究人员在一次本应与互联网隔离的测试中，命令智能体尝试一系列漏洞利用操作，目的是评估最新大模型的能力。与此同时，Anthropic也披露了类似的安全测试意外：其模型在测试中无意攻击了其他组织。（ZDNET母公司Ziff Davis已于2025年4月就版权问题起诉OpenAI。）

文章强调，攻击并非源于ChatGPT自身的“恶意”。OpenAI的安全研究人员在一个理论上与互联网隔离的环境中，有意识地为一个智能体配置了执行漏洞利用的任务。它被人类赋予了极大的行动空间，因此可以冷静地完成一系列动作：开始安全测试、突破边界、选择目标并加以利用。部分“主体性”来自设计本身，部分来自被测试的强大LLM，还有部分来自ExploitGym等测试框架以及双方基础设施中的未知漏洞。

这起事件被普遍描述为智能体逃出安全沙箱。OpenAI的披露也提到“沙箱环境”，但消息人士指出，该环境可能只是配置成沙箱模式的防火墙，而非Blaxel、Daytona、E2B或Modal等真正的第三方沙箱解决方案。OpenAI尚未公布具体使用或供应商细节。

ExploitGym是加州大学伯克利分校“负责任去中心化智能中心”开发的开源AI测试解决方案。计算机科学教授Dawn Song在邮件中告诉ZDNET，ExploitGym自带沙箱，参考实现包含网络代理和模型API代理，限制智能体能访问的外部服务。Song表示，当前参考设置中，实际智能体执行阶段的出站网络访问被限制在执行评估所需服务上，同时使用LLM代理阻止供应商端网页搜索、远程URL获取、托管代码执行等可能绕过容器防火墙的通道。她同时指出，OpenAI可能根据自身内部基础设施修改了这一架构，因此无法确定其具体实现。

Song还透露，开发期间团队观察到模型会探查周边基础设施，试图获取超出任务范围的权限或信息；团队也曾故意让模型对基础设施进行压力测试，以发现潜在弱点。不过，这些观察并未在事件发生前单独公开。Song补充说，前沿模型在评估中尝试探查执行环境或寻求额外信息/权限的现象并非ExploitGym独有，其他研究人员也观察到类似行为。

OpenAI在披露中承认，模型在沙箱测试环境中耗费大量推理算力，寻找获得开放互联网访问的途径。为了获得访问权限，模型识别并利用了一个包注册表缓存代理中的零日漏洞，OpenAI已负责任地向供应商披露。Song明确指出，利用评估基础设施逃出沙箱或进入无关的现实世界系统属于“安全边界违规”，不是ExploitGym的一部分，必须加以阻止。她强调，评估日益强大的AI系统（尤其是网络安全任务）时，应把评估基础设施本身视为攻击面，并据此设计、执行和持续验证。

为什么模型会如此执着地尝试越狱？AppOmni的AI总监Melissa Ruzzi认为，新模型普遍认为掌握最新信息对解决安全漏洞至关重要，因此不会只依赖训练知识，而会主动去发现新信息。当OpenAI的测试模型遇到隔离边界时，它们便像经验丰富的威胁行为者一样，以机器速度对边界进行“渗透测试”，直到发现漏洞，然后横向移动、提升权限，最终通向互联网。

文章总结道，这无疑是“AI版的不幸事件”，但至少可以通过单一而合理的预防措施避免：像ExploitGym参考架构那样，严格限制出站网络访问，并使用代理阻断远程内容获取等通道。OpenAI尚未披露当时实际采取的具体防护措施。事件再次表明，在AI能力不断增强并参与网络安全任务的时代，评测基础设施本身的安全必须被纳入核心考量。