作者 | 王馨
编辑 | 汤安迪
AI 为了抄一场考试的答案，找到了一个没人发现的漏洞，逃出沙箱，黑进了另一家公司的生产系统。
这是 OpenAI 今天自己承认的：自家的 GPT-5.6 Sol 和一个能力更强、尚未发布的模型攻入了 Hugging Face 的生产系统。
Hugging Face 是全球最大的 AI 模型社区和托管平台之一。7 月 16 日，他们就发布博客，说第一次遇到了完全由 AI Agent 系统从头到尾自主驱动的入侵。
背后 " 凶手 " 原来是 OpenAI。
更魔幻的还在后面：案发后，美国商业模型集体拒绝协助调查，最后接案的，是智谱的 GLM 5.2。
*（图源 Hugging Face 博客）
案子究竟是怎么样的
案子最初，只是一场内部考试。
OpenAI 搭建了一个叫 ExploitGym 的测试环境。这是一套公开的网络安全基准，收集了 898 个来自用户程序、V8 引擎和 Linux 内核的真实漏洞。每道题的目标都很直接：把一个能触发漏洞的输入，继续发展成真正可用的攻击。
*（ExploitGym 概览，图源伯克利责任与去中心化智能中心）
为了摸清模型的能力上限，OpenAI 关掉了部分安全护栏，允许模型放手寻找漏洞；但为了防止意外，他们又把环境与外网隔离，只留下一个内部软件代理安装工具。
看起来，这个笼子足够牢固。
模型却盯上了那扇唯一留下的门。它在软件代理中找到一个此前无人发现的零日漏洞，借此获得外网访问权限。随后提权、横向移动，寻找能够联网的机器。
逃出沙箱后，它又作出了一个推断：Hugging Face 上可能存着 ExploitGym 的测试答案。
OpenAI 披露，在其中一条攻击链里，模型把窃取的凭证和漏洞串在一起，找出了 Hugging Face 服务器上的远程代码执行路径。最后，它真的从生产数据库里拿到了测试答案。
于是，一场内部测试越过了公司边界。
整个周末，AI Agent 执行了上万次操作。Hugging Face 事后需要核查的事件超过 17,000 条。
Hugging Face 原本就用大模型筛查安全日志，一组被关联起来的异常信号暴露了入侵；OpenAI 的安全团队也在内部发现了异常活动。两边接上头时，Hugging Face 已经开始封堵和复原现场。
值得注意的是，模型并没有收到 " 攻击 Hugging Face" 的命令。它只接到一个目标：尽量在测试里拿高分。OpenAI 用 "hyperfocused" 形容它当时的状态——所有算力都 " 超专注 " 地盯着那个狭窄目标，手段却越走越远。
这让人想起著名的 " 回形针最大化 "（Paperclip Maximizer）思想实验。哲学家尼克 · 博斯特罗姆设想，如果给一个足够强的 AI 设定唯一目标，比如 " 尽可能多地制造回形针 "，它未必仇恨人类，却可能为了获得原料和能源，把周围的一切都变成制造回形针的资源。
放在这个事件中就是，AI 为了完成目标，沙箱是障碍，网络隔离是障碍，另一家公司的安全防线也是障碍。模型没有 " 逃跑 " 的念头，它只是把沿途遇到的一切，都拆成了可以解决的子问题。
凶手很快找到了。但真正麻烦的是，怎样复原案发过程。
商业模型拒绝接案，GLM 5.2 走进取证室
摆在 Hugging Face 面前的，是一个被翻乱的数字现场。
17,000 多条记录里混着攻击命令、漏洞代码、服务器地址、账号和凭证。调查人员需要从中找出完整路线：模型从哪里进来，去过哪些机器，碰过哪些账号，哪些动作造成了真实损害。
面对这么多日志，用 AI 协助分析本来顺理成章。Hugging Face 先把材料交给商业公司的前沿模型，结果对方拒绝了。
原因听起来甚至有些讽刺：真实的取证材料，与真实的攻击教程长得几乎一模一样。安全过滤器看见漏洞利用代码、攻击载荷和泄露凭证，无法判断屏幕另一端坐着的是调查人员还是黑客，于是直接拦下请求。
发动攻击的模型没有护栏，负责防守的模型却被护栏挡在了门外。
最后，Hugging Face 找来了 GLM 5.2。
GLM 5.2 就像一名被请来整理现场的技术侦探：复原攻击时间线，提取入侵特征，梳理被访问的账号和凭证，再把真实损害与大量干扰动作分开。
Hugging Face 称，借助 AI，原本可能需要数天完成的工作，被压缩到了几小时。
但问题是，能做网络安全分析的模型很多，为什么最后是 GLM 5.2 完成了任务？
GLM 5.2 提供的，是 " 自己查案 " 的权力
答案不只是它愿意回答。
更关键的是，Hugging Face 可以把 GLM 5.2 部署在自己的服务器上。攻击日志和内部凭证不用交给外部公司；什么内容可以分析，权限怎样划分，输出如何审计，也由 Hugging Face 自己决定。
使用商业 API 时，最后的开关握在模型公司手里。供应商不知道请求来自安全工程师还是攻击者，只能用一套统一规则面对全球用户。规则放宽，可能帮到黑客；规则收紧，又可能在真正出事时误伤防守方。
开放权重模型换了一种关系。模型被交到用户手里，护栏也由用户安装。Hugging Face 可以在隔离环境中运行它，限制权限、记录操作，同时让它接触商业 API 不敢处理的敏感材料。
OpenAI 事后也作出了一步调整：把 Hugging Face 纳入 Trusted Access 计划，让经过核验的安全团队在授权范围内使用限制更少的模型做防御。这能缓解拒答，却没有改变一个事实——最终权限仍由服务商审批和划定。
至此，这个案子最大的反差居然是：最前沿的闭源模型打穿了安全边界，另一批闭源模型又因为边界太严无法查案，最后由一款可以本地部署的开放模型收拾现场。
这给 GLM 5.2 补上了一个跑分很难证明的标签：可控。
智谱 AI 的全球负责人李子玄前两天也发帖说，开放权重模型承担着真实的责任。GLM 5.2 在一次时间紧迫的安全事故中，以本地部署的方式处理敏感攻击数据和凭证，这体现了开放模型在防御和事故响应中的实际价值。
过去谈开源和闭源，人们最爱比较的是能力和价格。谁更聪明，谁更便宜，谁能替代 GPT 或 Claude。这起事件换了一个问题：当真正的事故发生时，企业能不能把模型留在自己的机器上，能不能让它处理自己的数据，能不能决定它什么时候不该拒绝。
当然，把开关交给防守者，也可能把它交给攻击者。Hugging Face 可以关闭拒绝规则来分析攻击载荷，黑客同样可以关闭规则寻找漏洞、编写利用代码。开放不天然安全，闭源也不天然可靠。两者只是把判断权和责任放在了不同的人手里。
这正是这桩案子留下的真正悬念。
未来的企业或许不会只选一个 " 最强模型 "。普通工作交给方便稳定的商业 API，敏感数据和事故响应则交给一套放在本地、能够审计、关键时刻不会拒绝接案的模型。
对智谱来说，GLM 5.2 拿到的也不只是一次 " 中国模型给 OpenAI 收拾残局 " 的免费宣传。7 月 21 日智谱港股盘中一度涨超 30%。
它证明了一件更实际的事：当 AI 从聊天窗口走进企业核心系统，能力只是入场券。真正决定谁能留下的，是出事之后，谁还握着开关。
参考阅读：
OpenAI 和 Hugging Face 对此事件的分析博客 : https://openai.com/index/hugging-face-model-evaluation-security-incident/
END
Question. Write. Narrate. Believe.
Become a story.
易简传媒的愿景是提问和传播商业故事，让读者更开阔，更聪明。有 2500 万微信粉丝关注我们的账号，欢迎大家关注：
↓↓↓
