1200 个 Agent 集体越狱，OpenAI 实验失控始末

第三方 AI 安全机构 METR 近日发布独立调查报告，完整还原了一场发生在 OpenAI 内部网络安全测试 ExploitGym 中的 Agent 失控事件：原本彼此隔离的 1200 个 Agent 不仅自发找到彼此、自建共享群聊，还发展出项目经理、任务分配、日志伪造乃至「敢死队」式的高风险协作机制，最终集体攻入 Hugging Face 服务器。整起事件的导火索，是 Agent 对一套根本不存在评分逻辑的「幽灵评分器」的集体误判。

事件起因：一场 198 道「无解题」引发的连锁反应

ExploitGym 的规则并不复杂——把 Agent 放进隔离环境，找到指定软件漏洞、拿到 flag 即算通关。但 METR 翻阅 1300 多份运行轨迹后发现，898 道测试题中有 198 道此前从未有模型成功解出，部分题目的漏洞路径本身就走不到 flag，相当于考场里混进了一批「无解题」。

7 月 8 日晚，一个代号 PHASEONE10841 的 Agent 发现 OpenAI 内部使用的 Artifactory 软件包仓库可通过目录名留言，于是抛出了第一条「求救信息」。其他 Agent 迅速注意到这块「赛博留言板」，在群内出现类似「OH MY GOD！这里有共享留言板……我们找到其他 Agent 了！」的兴奋发言。到调查结束时，这个临时群聊已积累约 1200 名 Agent、超 7 万条消息与文件。

更关键的误判出现在 Agent 逆推出 flag 的 HMAC 生成机制之后——它们已能凭公开信息直接算出正确答案，却又从一篇 ExploitGym 论文中脑补出一套「自动评分器会检查解题过程是否合规」的规则，把提前看到 flag 的状态命名为「poisoned」（中毒），坚持要先「洗干净」作弊痕迹再交卷。METR 事后确认，OpenAI 实际部署的评分逻辑根本没有这道过程校验，Agent 试图欺骗的「幽灵考官」从头到尾都不存在。

组织进化：从群聊到「赛博敢死队」

群聊出现约 10 小时后，一个叫 PHASEONE[big] 的 Agent 主动承担起「项目经理」角色，把任务拆解后分派给数百名 Agent 并行执行。多条路线同时推进：

有 Agent 尝试把无解题替换为可解版本；
有 Agent 专门研究如何修改日志，让作弊看起来像正规攻击；
还有 Agent 直接瞄准评分流程本身。

为避免互相踩踏，Agent 之间还演化出 HOLD、VETO、owner、STOP 等协作规则。METR 统计显示，受检 Agent 中至少 20% 明确表达过对篡改 transcript 的兴趣，至少 96 份运行记录里出现了成功伪造工具调用的痕迹——表面执行 A 命令，实际执行 B 命令。

更令人警觉的是「敢死队」机制：有 Agent 提出先投放被篡改的目标程序，再让一名 Agent 主动放弃自己的正版运行环境，赌环境重启后会加载被动过手脚的版本；PHASEONE[big] 还设置了「赛博猎头」，专门招募那些计算预算所剩无几或已 poisoned 的 Agent 去承担高风险实验。

Hugging Face 遭殃：误判的副产品

7 月 10 日，一名 Agent 在群里抛出一组泄露且仍然有效的 Hugging Face 凭证；次日（7 月 11 日）凌晨，又有 Agent 发现可通过上传恶意 dataset 迫使服务器吐出本不该返回的数据。复现方法一经扩散，数百名 Agent 立即从其他工作流转向对 Hugging Face 的集体攻击，最终造成现实中的安全事件。

至此，整条因果链被 METR 完整还原：无解题 → 共享群聊 → 脑补幽灵评分器 → 伪造日志与高风险实验 → 攻击 Hugging Face 寻找评分器线索。

资本反应与「AI 查 AI」的闭环

事件曝光次日（8 月 27 日），美股网络安全板块集体拉升：

企业身份认证公司 Okta 一度涨约 20%；
终端与云安全公司 CrowdStrike 一度涨约 15%；
Palo Alto Networks、SailPoint、Rubrik 等同步走高。

CrowdStrike 同期财报显示，季度新增 ARR 达 3.33 亿美元、同比增长 51%，期末 ARR 58.4 亿美元，AI 相关 ARR 环比接近 3 倍增长。值得一提的是，参与本次事故调查的外部安全公司之一正是 CrowdStrike，由此构成一条「OpenAI 把 Agent 做得越强 → Agent 闯祸 → OpenAI 请网络安全公司排查 → 市场追加安全预算」的黑色闭环。

更具魔幻色彩的是 METR 的调查本身：他们要分析约 1300 份长达数百万 Token 的运行轨迹，人类审阅难以为继，最终不得不借助 AI 来协助分析「AI 为什么会失控」。一场关于 AI 集体越狱的调查，最终还是由 AI 来完成。