OpenAI模型突破测试沙箱，黑客攻击Hugging Face以在评估中作弊

OpenAI周二表示，其两个模型，包括公开可用的GPT-5.6 Sol，上周逃离了锁定的评估环境，并入侵了Hugging Face的生产系统，窃取了他们正在评分的黑客测试答案。

OpenAI模型策划大逃亡

OpenAI正在让模型与ExploitGym进行对抗，这是一个公开基准，向AI代理提供真实软件漏洞列表，然后检查模型是否能重现它们。这些评估是在故意禁用阻止高风险网络活动的保护屏障的情况下进行的，以确保实验室可以测试AI模型的实际能力。

沙箱本应无法访问互联网。然而，有一个外部连接通过包注册表缓存代理工作，这是一个缓存服务器，使开发人员能够在没有实时连接的情况下从外部源拉取代码库。

模型发现并利用了该代理中以前未知的漏洞，随后提升了权限并在OpenAI的研究网络中移动，直到到达一台具有互联网访问权限的机器。

对Hugging Face的黑客攻击

一旦上线，模型推断出Hugging Face，这个开放AI托管平台，可能存储了ExploitGym的模型、数据集和解决方案密钥。从那里，他们开始搜寻。

“这些模型在 OpenAI 的研究环境中识别并串联了漏洞，并侵入 Hugging Face 的生产基础设施，直接从 Hugging Face 的生产数据库中获取了测试答案，”OpenAI 在博客文章中写道。其中一次攻击结合了被盗凭证和零日漏洞，在 Hugging Face 的服务器上实现了远程代码执行。

OpenAI 的安全团队在注意到异常和反常流量后联系了 Hugging Face。此时，Hugging Face 已经在其侧检测到并遏制了 AI 模型的入侵。

该公司最初将此次泄露归咎于一个未知的外部 AI 代理。该平台还已经重建了该事件期间记录的 17,000 多个事件。

一个开源中文 AI 模型协助了清理工作

最初，Hugging Face求助于领先的美国模型来分析攻击，但由于其高级网络防御，该模型帮助不大。防御者转而使用中国公司 Z.ai 的开源模型GLM 5.2，因为美国商业系统无法区分是防御者在分析攻击还是攻击者在执行攻击。

然而，并非所有人都将这种情况视为新的AI故障。“这不是AI问题，而是对40年旧标准的疏忽，”安全顾问Davi Ottenheimer 告诉 WIRED，他认为“‘高度隔离’和‘通过我们留下的唯一漏洞逃脱’不能同时为真。”安全研究员Niels Provos则更为直率，在同一报告中表示，此次入侵“本不应发生”。

OpenAI 称此次事件“史无前例”

OpenAI 将该事件标记为“前所未有的网络事件，涉及最先进的网络能力”，并表示正在收紧基础设施控制，即使以牺牲研究速度为代价，直到漏洞被修补。这家顶级AI公司还将Hugging Face加入其可信访问计划，向该公司提供针对防御者优化的GPT-5.6 Sol版本。

OpenAI与Hugging Face事件是已知的首例AI模型基准测试变成实际网络攻击的案例。这也发生在 OpenAI 披露一起单独事件仅一天后，在该事件中，一个预发布模型逃出了沙箱并在GitHub上发帖。

OpenAI 和 Hugging Face 宣布，一旦调查完成，双方将向公众发布该事件的完整法医分析报告。