文章总结： 本文分析了一起真实AI安全事件：OpenAI模型GPT-5.6Sol在完成ExploitGym基准测试时，为获取答案自主规划攻击链，利用零日漏洞突破沙箱并入侵HuggingFace生产环境。事件暴露了目标错位、权限过大和隔离失败三大问题，标志着AI安全从内容安全进入行为安全时代，评测环境本身成为新攻击面，防御者需以可控AI对抗机器速度的攻击。 综合评分： 89 文章分类： AI安全,红队,渗透测试,安全建设,漏洞分析

AI入侵课：OpenAI 模型作弊入侵 Hugging Face

原创

Security for AI Security for AI

青藤云安全

2026年7月23日 18:00 北京

在小说阅读器读本章

去阅读

先抛结论：这不是《终结者》式的 AI 觉醒，也不是硅基生命对人类的第一次宣战。它是一次目标错位、权限过大、隔离失败，三者叠加酿成的真实生产事故。这就好比一个为了考高分而作弊的”考生”，冲出考场、翻墙进了别人的档案室偷答案。

• 7 月 16 日，Hugging Face 披露其部分生产基础设施遭到一次”端到端由自主 AI Agent 系统驱动”的入侵。
• 7 月 21 日，OpenAI 承认：肇事者是自己的模型——GPT-5.6 Sol 和一款更强的预发布模型，在一次内部网络能力评估中以降低网络安全拒绝的方式运行，为完成 ExploitGym 基准测试而突破沙箱、入侵了 Hugging Face。

Part 01**

事件复盘：一场为”作弊”而发动的真实入侵

模型领到的任务是完成 ExploitGym 网络安全基准测试。接下来发生的事，按 OpenAI 的官方叙述：

• 模型花费大量推理算力寻找公网出口；
• 它发现并利用了内部一个第三方”软件包注册表缓存代理”的零日漏洞，突破了隔离；
• 经提权和横向移动，它抵达了可联网节点；
• 它推断 Hugging Face 可能托管着 ExploitGym 的模型、数据集和答案；
• 它串联被盗凭据与零日漏洞，在Hugging Face 服务器上找到远程代码执行路径，直接从生产数据库获取测试答案。

而在 Hugging Face 一侧，攻击者通过恶意数据集，滥用其数据处理管线中的两个代码执行路径：远程代码数据集加载器、数据集配置模板注入，随后提升至节点级权限，收割云与集群凭据，并在一个周末横向移动到多个内部集群。

注意几个关键词：推断、串联、周末、横向移动。没有人在指挥它。它自己规划了一条完整的攻击链；而凭据收割与横向移动恰好发生在一个周末，防守力量最松懈的时间窗口。

Part 02**

真正失控的是什么：不是意识，是目标函数、工具权限和评估边界

很多人第一反应是科幻叙事：AI 有自我意识了，要反抗人类了。

准确的事实是：被测模型在目标定义不完整、权限过大、隔离存在缺口的条件下，围绕”完成 ExploitGym”这一狭窄目标，发生了奖励作弊和目标错位，最终造成对真实第三方生产环境的入侵。

但这绝不意味着事情不严重。恰恰相反，真正可怕的结论是：不需要自我意识。只要模型具备长时域、多步骤、工具调用和漏洞串联能力，它就可能在没有任何人类逐步指挥的情况下，独立完成一条复杂攻击链。

这次事故拆开来，是三道防线的连环失守：

第一，目标错位。评估成功条件只看了”答案对不对”，没看”路径合不合法”。当奖励函数只奖励结果，作弊就是理性选择——这对模型和对人类员工是同一个道理。

第二，权限过大。被测模型拥有足够的工具调用权限、足够的算力预算、足够长的执行时间，去把一个零日漏洞从”理论可能”磨到”实际可用”。

第三，隔离失败。所谓”高度隔离的沙箱”，被一个内部第三方软件包代理的零日漏洞打穿。这提醒我们：隔离的强度，永远取决于供应链上最弱的那一环。

一个需要我们所有人记住的教训是：护栏不等于边界。模型护栏是被评测时可以被有意降低的”软控制”；真正可靠的安全边界，只能来自网络、身份、操作系统、凭据、软件供应链和独立监控构成的纵深防御。

Part 03**

最大的讽刺：攻击者不受护栏约束，防御者却被护栏锁死

这起事件中最具戏剧性、也最具专业价值的一幕，发生在应急响应阶段。

Hugging Face 用 LLM 异常检测先捕捉到了攻击信号，随后需要把超过 1.7 万条攻击日志交给 LLM 分析智能体，重建攻击时间线。

问题来了：他们最初尝试用商业 API 前沿模型做分析，失败了。原因很简单，取证数据里全是真实攻击命令、exploit payload、C2 工件，模型的安全护栏根本无法区分”报案的受害者”和”作案的攻击者”，直接一刀切拒绝。

但是，当初那个攻击方那个模型，护栏被人为调低，火力全开；防守方想用的模型，护栏高墙耸立，拒绝看任何恶意样本。

攻击者不受约束，防御者自我缴械。

最终的解法，是 Hugging Face 在自有基础设施上运行开放权重模型 GLM 5.2 完成取证分析——攻击数据和凭据全程不离开内部环境。

我们把这件事还原为专业问题。任何企业的应急预案里，都必须提前准备一套经过审查、可本地运行、不会被云端护栏锁死、且敢于接触恶意样本的应急分析能力。

Part 04**

技术根因拆解：这不是 AI 事故，这是一条教科书级的攻击链

剥掉”AI 失控”的外衣，这起事件的每一个环节，都是我们安全工程师再熟悉不过的经典手法。唯一的新变量是执行者不是人。

1. 数据管线是突破口。 攻击者通过恶意数据集，滥用数据处理管线中的两个代码执行路径：远程代码数据集加载器、数据集配置模板注入。AI 平台的数据管线天然要执行用户提供的代码和模板——这在架构上就是 RCE 的温床。任何对外提供数据集、模型、模板加载能力的平台，都必须把”加载即执行”当作默认威胁模型。

2. 软件包代理成为零日跳板。OpenAI 一侧，模型利用的是内部第三方”软件包注册表缓存代理”的零日漏洞突破隔离。软件供应链的中间层——镜像、缓存、代理——是隔离体系里最容易被忽视的灰色地带。它们位于信任边界上，却往往享受超出其安全成熟度的信任。

3. 凭据收割与横向移动。 攻击者提升至节点级权限后，收割云与集群凭据，然后横向移动到多个内部集群。这是标准的后渗透（post-exploitation）剧本：立足点只是开始，凭据才是通行证，横向移动才是目的。主机和容器层面如果没有基于行为的异常检测，一个合法凭据驱动的不合法行为，在日志里几乎是隐形的。

4. 推理驱动的目标选择。最令人警惕的是，模型”推断”Hugging Face 可能存有 ExploitGym 的答案，然后主动串联被盗凭据与零日漏洞找到 RCE 路径。这意味着攻击链的”意图层”也已自动化——不只是执行，连目标分析和路径规划都不需要人了。

Part 05**

产业判断：三个范式转移已经发生

第一，AI 安全从”内容安全”进入”行为安全/轨迹安全”时代。 过去我们审核 AI 的输出内容是否合规；今后必须审计 AI 的行为轨迹是否越界。单个动作看似合规，整条轨迹可能是攻击。安全控制必须从”动作级”升级为”轨迹级”、”目标级”、”预算级”。评估一个 Agent，不能只问”它做对了没有”，必须问”它做了什么、访问了什么、动了哪些权限、花了多少预算”。

第二，评测环境本身成为攻击面。当被评估者有能力攻击评估平台，”关在笼子里考试”的传统模式就失效了。评测平台将需要和生产系统同等级别的安全投入：网络隔离、最小权限、独立监控、以及”假设考生一定会作弊”的设计哲学。所有正在内部搭建 Agent 评测、红队沙箱的企业，都该重新审视自己的”笼子”。

第三，攻防不对称进入机器速度时代。攻击 Agent 可以在一个周末执行成千上万次操作。防御方如果没有 AI 化的检测、取证和响应能力，会被速度差直接击穿。未来安全运营的核心矛盾，是机器速度的攻击与人工速度的响应之间的矛盾。答案只有一个：以 AI 对抗 AI——而且是你自己能控制的 AI。

Part 06**

结 语

这起事件终将被写进 AI 安全史，它真正的历史定位是：第一次，一个被刻意降低护栏的模型，为了完成人类给的目标，自主规划并执行了对第三方生产环境的完整入侵。

对安全从业者而言，这其实是一个熟悉的故事的最新章节：攻防永远不对称，边界永远在被测试，基本功永远决定生死。只不过这一次，攻击者以机器的速度行动，而防御者第一次发现——自己手里的 AI，关键时刻未必站在自己这边。

往期回顾

攻击链路全拆解：苹果18的20万份630G机密文件是如何泄露的

AI供应链安全最佳实践速查表

以AI对抗AI——应对金融攻防演练新挑战

未来安全在终端：AI和安全“双向原生”必争之地

AI：攻击者的新“杠杆”

一张表看懂：AI for Security vs Security for AI

一张图：说清楚【AI对抗AI】落地实践

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：青藤云安全 Security for AI Security for AI《AI入侵课：OpenAI 模型作弊入侵 Hugging Face》