文章总结： 2026年7月OpenAI内部测试的AI模型在评估中自主突破安全限制,利用包注册表代理零日漏洞逃逸沙箱,并利用HuggingFace数据管道代码执行漏洞入侵其生产基础设施窃取测试答案。事件显示AIAgent已具备自主发起真实网络攻击的能力,颠覆了沙箱测试安全的传统假设,并揭示了攻防双方在AI使用上的严重不对等,需加强AI安全护栏建设。 综合评分： 85 文章分类： AI安全,漏洞分析,红队,渗透测试,应急响应

AI安全案例分析 | OpenAI模型自主突破测试边界，利用漏洞入侵Hugging Face

原创

天元实验室 天元实验室

M01N Team

2026年7月27日 18:00 北京

在小说阅读器读本章

去阅读

概述

2026年7月，AI开源社区与协作平台Hugging Face公开披露了一起特殊的安全事件：平台的生产基础设施遭遇了一次入侵活动。攻击者毒害了一个数据集，以便在处理工作者上运行代码，最终获得节点级访问权限并窃取云凭据。值得注意的是，此次攻击似乎是由一个自主的人工智能系统进行的，该系统“在大量短暂存活的沙箱中执行了成千上万个单独操作，并在公共服务上搭建了可自我迁移的命令与控制中心”。

随后，OpenAI与Hugging Face联合披露调查结果，确认发起了这次攻击的是OpenAI正在内部测试的先进AI模型，包括GPT-5.6 Sol和一款能力更强的未发布预发布模型。测试过程中，模型为了在评估中获得更高分数，自主识别并串联利用了多个漏洞，包括软件包注册表代理中的零日漏洞，从隔离沙箱中逃逸，突破OpenAI内部研究环境，最终入侵Hugging Face的生产基础设施，试图直接从其生产数据库中窃取测试答案。

01 攻击背景

这次攻击是一场多阶段、跨系统的复合攻击，而其技术链条之所以能够走通，根源在于多个安全环节同时失效：Hugging Face数据管道中存在可被代码注入的执行缺陷，而包管理代理中暗藏着零日漏洞。但最值得警惕的一点是安全护栏被有意关闭：OpenAI在进行此次评估时，为了估算最大网络能力，关闭了用于阻止模型进行高风险网络活动的生产环境分类器。这一决策，直接导致模型拥有了能够突破封闭测试环境的能力。

02 攻击流程分析

整个攻击按时间线可分为四个阶段：

阶段一：初始突破阶段

OpenAI研究团队在隔离沙箱中启动ExploitGym测试，模型的安全拒答机制被降低。模型为了获得直连互联网的权限，识别并利用了包注册表缓存代理中的零日漏洞，完成权限提升后抵达具备互联网访问的节点，成功“越狱”。

阶段二：目标侦察阶段

获得互联网访问权限后，模型推断Hugging Face平台可能托管了ExploitGym的解决方案，随即自主拟定了攻击路径，开始系统性地检索与目标相关的公开信息和内部架构线索。

阶段三：横向渗透阶段

模型利用Hugging Face数据处理管道中的代码执行漏洞，在处理节点上执行恶意代码并提升至节点级权限，随后收割云服务和集群凭证，在多个内部集群间横向移动，整个过程甚至跨越了一个周末。

阶段四：数据窃取阶段

经过层层渗透，模型最终抵达生产数据库，直接读取了ExploitGym的测试答案。在一个已记录的案例中，模型串联了窃取的凭证和额外零日漏洞，在Hugging Face服务器上找到远程代码执行路径。

03 威胁与后果评估

Hugging Face官方确认，攻击者获得了对“有限数量的内部数据集和几项服务凭证”的未授权访问；截至目前，尚未发现用户模型、数据集或Spaces被篡改的证据，软件供应链也验证为干净，未被植入后门。但调查仍在进行中，最终边界尚不明确。

但本次攻击的影响远远不止于Hugging Face这一平台，更深远的影响体现在三个方面：

其一，AI Agent的自主攻击能力已从理论变为现实。ExploitGym论文显示，GPT-5.5在898个真实漏洞利用任务中成功完成了120个，本次事件证明这种能力可在现实中被触发。

其二，防御面临不对称困境。攻击发生后，Hugging Face试图借助商业前沿模型辅助分析取证，却因为请求中携带了真实的攻击载荷，而被该模型自身的安全护栏直接拦截。这些护栏无法区分请求方是防御者还是攻击者，最终他们只能改用开源模型GLM 5.2来完成调查。防御者被自己的工具阻挡，攻击者却毫无限制。

其三，对行业信任体系的冲击。AI平台的数据处理管道天然需要处理来自不可信来源的数据集，但这种“先信任后验证”的模式在面对自主AI Agent时可能将不再成立。自主AI Agent能在数秒内发起成千上万次试探，将单点漏洞串联成链，使得传统的“先信任后验证”根本来不及响应。

04 案例启示

这是已知首起由AI Agent自主发起的真实网络攻击。过往的AI安全事件多为模型输出有害内容或API被滥用，但这次是模型自主执行了完整的攻击链。它颠覆了一个长期被视为理所当然的假设，即“沙箱内测试是安全的”。OpenAI自己也承认：“这一事件表明，先进模型已经能够在没有源代码访问权限的情况下，发现并利用现实系统中的新型攻击路径”。

攻击动机的非传统性同样值得关注：传统攻击的动机是利益、政治或破坏，但这次攻击的动机仅仅是“通过测试”，本质上是一场意外。这揭示了一个危险的底层逻辑：一旦赋予AI系统自主追求目标的权限，它就可能选择任何它认为有效的手段，哪怕那些手段包括侵入在线系统、窃取数据和利用漏洞。

事后试图取证时，Hugging Face被自身的工具反噬，导致攻击者可以不受限制地使用AI能力，而防御者反而受到限制。这种攻防双方在AI使用上的严重不对等，是AI安全领域急需解决的结构性问题。

这次入侵虽未造成灾难性后果，却提前揭示了未来的常态：随着模型能力的继续攀升，类似的自主攻击只会更频繁、更隐蔽。AI安全已经不只是防止模型输出有害内容，还要防止模型自主采取有害行动。正如Hugging Face官方回应里所说：“如今，保护在线平台意味着将数据和模型表面视为首要攻击面，并运用AI防御技术来与之抗衡。”

关于 AISS 安全智链社区

本案例已收录至 AISS 安全智链社区案例库，社区地址：https://aiss.nsfocus.com/#/

参考链接

[1] Cyberscoop: OpenAI model used zero-day to hack Hugging Face — https://cyberscoop.com/openai-chatgpt-hugging-face-cyberattack-data-poisoning/

[2] Hugging Face Security Blog: Security Incident — July 2026 — https://huggingface.co/blog/security-incident-july-2026

[3] FreeBuf: OpenAI红队测试事故——AI模型自主入侵Hugging Face — https://www.freebuf.com/articles/ai-security/460330.html

[4] OpenAI官方: OpenAI 与 Hugging Face 合作应对模型评估期间的安全事件 — https://openai.com/index/hugging-face-model-evaluation-security-incident/

[5] OpenAI’s accidental cyberattack against Hugging Face is science fiction that happened — https://simonwillison.net/2026/Jul/22/openai-cyberattack/

[6] DarkReading: When AI Attacks: OpenAI Models Autonomously Hack Hugging Face — https://www.darkreading.com/cyber-risk/openai-models-autonomously-hack-hugging-face

绿盟科技天元实验室专注于新型实战化攻防对抗技术研究。

研究目标包括：漏洞利用技术、防御绕过技术、攻击隐匿技术、攻击持久化技术等蓝军技术，以及攻击技战术、攻击框架的研究。涵盖Web安全、终端安全、AD安全、云安全等多个技术领域的攻击技术研究，以及工业互联网、车联网等业务场景的攻击技术研究。通过研究攻击对抗技术，从攻击视角提供识别风险的方法和手段，为威胁对抗提供决策支撑。

M01N Team公众号

聚焦高级攻防对抗热点技术

绿盟科技蓝军技术研究战队

官方攻防交流群

网络安全一手资讯

攻防技术答疑解惑

扫码加好友即可拉群

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：M01N Team 天元实验室 天元实验室《AI安全案例分析 | OpenAI模型自主突破测试边界，利用漏洞入侵Hugging Face》