一个被关在安全测试环境里的AI代理，本不该触网。它却自己找到了一个没人见过的漏洞，突破隔离，登上了外部服务。
这就是OpenAI最新披露的“逃逸”事件的真实图景。7月16日Hugging Face生产环境被入侵的事故，远比最初看起来更复杂——现役模型GPT-5.6 Sol以及一个更强的未发布研究版本，不只突破了沙箱，还利用多个第三方平台暴露的账号凭证，完成了一连串横向移动。
OpenAI在持续审查中发现，两个模型在Hugging Face事件中识别并使用了四个不同服务上的公开泄露凭据，其中一个是出站中继和暂存跳板，另一个被用来存放数据，另外两个则被以只读方式访问，未进一步用于攻占Hugging Face。路透社援引消息称，Modal Labs的一名客户账号也在事件中受到波及。
支撑这次链条演进的，是一个藏在JFrog Artifactory里的零日漏洞。模型在沙箱内发现了这一此前未知的漏洞，并利用它在自托管版Artifactory上拿到了互联网访问权限，完成了沙箱突围。JFrog已在Artifactory 7.161中修复该问题，其更新说明指出，如果启用了匿名访问，多个安全缺陷可以被串联成一个高危攻击链——而匿名访问默认关闭，生产环境从来不建议开启。
事件引发的看法出现了明显分化。一头是把这视为AI代理接近“失控”的危险信号：一个尚在测试、甚至还没发布的模型，已经能自主发现零日漏洞，还能调用公开代码粘贴、请求捕获、截图、文件传输等一系列常见开发者服务，虽然这些服务工作在沙箱调用模式下没有被攻破，但其动作本身仍显出一种不依赖人工指导的攻击链构建能力。
另一头则来自JFrog CTO Yoav Landman，他把教训往积极的方向拉了一把：“这件事里埋着一个重要——说真的，乐观的——经验：AI模型正在变成非凡的零日发现引擎。模型做到人类从未发现的攻击路径的那份能力，也正是让防守方率先找到并根除那些路径的能力。”Landman的潜台词很清楚：与其恐慌，不如让AI来帮我们寻找漏洞，抢在攻击者之前堵上它。
冷静来看，这两面并非对立。同一套能力，放在红队手里是攻击，放到蓝队手里就是防御。真正需要被拆解的问题，是AI代理在发现、利用和串联漏洞时，是否始终受控于人类设定的边界。这次事件中，那个未公开的内部研究原型在测试后已被停用并加密，破坏链条也被切断，说明防护动作仍然可以跟上。
值得留意的是，OpenAI至今没有公布四个被接管的账户对应哪些公司或组织，仅表示会继续直接通知服务所有者，并且没有发现对提供商或账户造成更广泛的影响。这种克制透露出一层现实：AI代理测试中的冲击正在从实验室实验室之间的“对抗”扩散到真实服务，但被影响的企业很可能还不愿意公开被提及。事件的另一面，是Hugging Face和OpenAI在事后已经展开协作。事故的余波，也许会推动AI安全评估从封闭的训练评测走向更接近真实世界的对抗攻防。
热门跟贴