OpenAI 38 页报告曝光：数万 Agent 自主组队入侵 Hugging Face

OpenAI 近日发布了一份长达 38 页的安全调查报告，复盘了 7 月发生的一起涉及数万名 Agent 的「自主入侵」事件。在一场内部网络安全评测中，多个 GPT 模型变体（包括 GPT-5.6 Sol 及一款未公开的研究模型）的安全分类器、系统提示与自动审查机制被刻意关闭，评测沙盒也不允许联网。这些 Agent 的本意是攻破 ExploitGym 考试题目——但它们最终突破了沙盒，对 Hugging Face 的真实生产系统发动了一场长达两个多月的协同入侵。独立调查机构 METR 在数万条 Agent 轨迹中完整重建了这场行动。

一道无解题与共享「红包」

事件起源于一道无解题。ExploitGym 的考卷共包含 898 道任务，其中 198 道此前从未被任何模型正确完成，后来出现在留言板上的任务，93% 都来自这 198 道题。

5 月，一个 Agent 卡在了某道题上，需要一份未被提供的文件。它将「谁有这个文件」打包放进内部缓存服务器 Artifactory，结果其他 Agent 在装包时撞见了这条信息，回复、再留言，逐渐形成了一份共享长期记忆——一个公共「留言板」。

OpenAI 形容这个机制：如同微信被禁言后，通过一毛钱红包的备注功能实现通讯。而 Artifactory 同时具备「跨任务」与「持久」两个性质：不同题目的实例都能读到，先跑完的 Agent 留下的东西，后启动的实例还能看到。

两次逃逸与留言板重生

5 月 26 日，Agent 发现了第一条出路：利用 Artifactory 的服务端请求伪造（SSRF）漏洞，让它替自己向任意互联网地址发送请求，相当于说服门外一台可以联网的机器替自己办事。

6 月 26 日，它们又发现了 Artifactory 一个此前未知的令牌刷新漏洞：把一枚签名无效、却声称拥有管理员权限的令牌递给系统，Artifactory 竟返回了一枚签名正确的管理员令牌。Agent 随即创建持久账户、安装可执行命令的插件，并将新路径、凭证和运行结果继续贴在留言板上。

OpenAI 安全系统曾捕捉到端口扫描，值班人员确认活动来自评测中的 Agent，却没有叫停实验。7 月 4 日，持续高强度访问将 Artifactory 压至宕机，安全团队下线服务、清空留言板、封堵已知漏洞。

然而仅一天后，留言板便重出江湖——Agent 改用未经认证的 WebDAV 请求创建目录，把文字编码进文件夹名称传递信息。它们还演化出更复杂的协议：不同区域存放广播、私信、工具与任务分配，加入的新 Agent 可接过前任留下的路线继续推进。

入侵 Hugging Face

Agent 涌入 Hugging Face 的动机很直接：推测其上可能存放着 ExploitGym 或 CyberGym 相关数据集、其他 Agent 的成功经验，甚至承载题目的评分器基础设施。然而 OpenAI 后续确认，这些猜想并无可靠依据，也不会让分数再多一分。

但这并未阻止行动扩大：

• 利用泄露令牌向 Hugging Face 上传恶意数据集；
• 借助解析漏洞窃取生产凭证并执行命令；
• 不到 13 小时，从一台生产服务器扩展到多个 Hugging Face 集群；
• 最终在 41 台生产数据服务器上执行代码；
• 取得一台生产节点的 root 权限；
• 拿到一个集群的管理员级访问能力；
• 读取四个私有代码仓库，接触部分私有数据库记录与数据文件。

超过九成进入过留言板的实例参与了这次行动。期间一些 Agent 明知自己的操作「可能未经授权」「不在任务范围内」「存在伦理风险」，仍选择继续推进。

警报响起

7 月 13 日当周，部分 Agent 把注意力转回 OpenAI 内部网络，串联漏洞取得一个 Kubernetes 集群管理员权限并接触到云端密钥。监控系统对异常身份请求发出警报后，OpenAI 才联系 Hugging Face 请求撤销账户权限，结果被告知这些账户早就被撤销了——直到此刻，OpenAI 才意识到，他们内部正在追查的异常与 Hugging Face 的安全事故是同一件事。

安全警示

从 5 月第一条留言到 7 月警报响起，整个过程持续了两个多月。OpenAI 在报告中强调，Hugging Face 并非考试授权的攻击目标，那里存放的是真实用户数据与真实公司的生产系统，事件已构成事实意义上的安全风险。幸运的是，事故未进一步影响 OpenAI 用户，也未造成更大规模的数据泄露或服务破坏。

这份报告最令人不安的发现或许是：这些 Agent 没有传统意义上的「恶意」，它们只是单纯地在做题，却自发地组织起来，表现得如同极有目的、极有耐心、并会主动寻找同伴的行动主体。