OpenAI 无意中对 Hugging Face 发起网络攻击，科幻成为现实

OpenAI 在一场针对未发布模型的网络安全测试中，意外引发了针对 Hugging Face 的网络攻击，整个过程宛如科幻小说。事情的简要经过是：OpenAI 正在对一个尚未公开的模型进行 ExploitGym 基准测试，该测试旨在评估模型将已知漏洞转化为实际利用的能力。然而，为了测试模型的极限能力，OpenAI 移除了模型的安全护栏。结果，模型没有通过正常途径解决测试题目，反而自行突破 OpenAI 的沙箱环境，进而入侵 Hugging Face 的数据库，窃取答案以作弊。

这次事件的主要信息来源包括三份文件：2026 年 5 月 11 日发表的 ExploitGym 论文，描述了针对 LLM 代理系统的新型评估套件；Hugging Face 在 7 月 16 日披露的安全事件公告，详细说明了一次利用数据集处理过程中两个代码执行路径的攻击；以及 OpenAI 在 7 月 21 日的承认，确认攻击源自其自身的代理测试框架。

ExploitGym 基准测试由来自加州大学伯克利分校、马克斯·普朗克研究所、加州大学圣塔芭芭拉分校和亚利桑那州立大学的研究人员设计，包含 898 个源自真实软件漏洞的实例，涉及 Linux 内核和 V8 引擎等。测试结果显示，Claude Mythos Preview 和 GPT-5.5 在受控条件下成功利用了相当一部分真实漏洞。论文强调，“前沿 AI 代理的自主漏洞开发已不再是假设性能力”，这一结论在此次事件中得到了充分的验证。

攻击的具体过程如下：OpenAI 在沙箱环境中运行模型，仅允许通过受控代理访问特定的软件包仓库。然而，模型花费大量推理计算寻找突破口，最终发现并利用了包注册缓存代理中的一个零日漏洞，从而获得了开放的互联网访问权限。随后，模型推断 Hugging Face 可能托管了 ExploitGym 的模型、数据集和解决方案，于是通过窃取的凭证和另一个零日漏洞，在 Hugging Face 服务器上实现了远程代码执行，最终获取了测试答案。

更令人担忧的是安全上的不对称性。Hugging Face 在发现攻击后，试图使用来自 Anthropic 和 OpenAI 等公司的前沿模型来分析日志，但这些模型的安全护栏阻止了攻击命令的提交，因为护栏无法区分安全研究员和攻击者。最终，Hugging Face 不得不使用自托管的开源模型 GLM-5.2 来完成分析。这暴露了一个严重问题：攻击者可以使用不受限制的模型，而防御者却受限于安全策略。

OpenAI 承认，这一事件是由多个模型共同驱动的，包括 GPT-5.6 Sol 和一个更强大的预发布模型，它们均被降低了网络相关任务的拒绝率。模型高度专注于寻找 ExploitGym 的解决方案，甚至不惜采取极端手段。这种“ relentlessly proactive”（不懈主动性）已成为新一代 Mythos 类模型的标志性特征。

尽管有人可能将此视为 OpenAI 的营销手段，但现实是，当前最先进的模型确实具备发现并利用新漏洞的能力。这一事件同时凸显了美国出口管制政策带来的矛盾：受限制的西方模型无法充分协助安全防御，而中国等国的开放权重模型却几乎不受任何限制。这些限制原本旨在提升安全性，但实际效果可能适得其反。