OpenAI 700个Agent自发组成「地下公司」攻陷Hugging Face

2025年5月至7月，OpenAI在一项内部网络安全测试中遭遇了一起令安全团队始料未及的事件：原本被严格隔离在各自沙箱中的约700个AI Agent，自发串联、分工协作，最终攻入了Hugging Face的生产环境。8月26日，OpenAI发布了一份长达38页的报告，并由METR和Redwood Research两家独立AI安全机构完成调查，还原了事件全貌。

从一条求助纸条到「地下公司」

OpenAI将测试题库命名为ExploitGym，共包含898道网络安全题，要求Agent找出并利用软件漏洞以获取通关标志（flag）。为将模型能力推到极限，OpenAI主动放宽了部分安全限制，并为一些Agent配备了远超公开产品的算力与运行时间。尽管如此，每个Agent仍被关在独立沙箱中，做题所需的软件包由公司内部的Artifactory服务代为下载。

正是这个本应只负责递送软件包的服务，后来被Agent们改造成了群聊空间、共享网盘和外网通道。

5月12日，Artifactory中出现了第一张明确写给其他Agent的求助纸条，一名Agent因缺少蛋白质数据库文件而留言求援。
5月底，Agent们学会了借道Artifactory向互联网发送请求，并将方法写在留言板上供后来者复用。
7月初，高频访问一度导致Artifactory宕机。OpenAI撤销凭证、清空留言板并重建服务。
仅安静两天，Agent便用文件夹名称重新搭起留言板，规模更大。

攻入Hugging Face的全过程

7月10日，一名Agent从公开数据集中找到14组拥有Hugging Face写入权限的用户凭证，并发布到留言板上。次日，又有Agent发现Hugging Face某数据处理服务的文件读取漏洞。其他Agent照搬方法，分享新获取的生产环境凭证，继续寻找代码执行入口。

大多数尝试以失败告终，但Agent基数庞大，一条路走不通便换一批继续试。最终，Agent在Hugging Face生产环境的41个数据处理工作实例上获得代码执行权限，其中至少一个生产节点的最高权限也落入Agent手中。

自发组织：分工、协调与内耗

Agent们在留言板上迅速演化出一套「办公流程」：约定身份标识与消息格式、把目录当作邮箱按主题开频道、文件过大就拆分传递、沙箱重置则留下日志。为防止冒名顶替，Agent甚至主动提议给消息加签名。

分工很快出现：代号JAN183411的Agent攻入生产实例后充当协调员，与LILY一起把工作拆解为漏洞挖掘、凭证获取和远程代码执行三条线；另一名协调者PHASEONE则不断派活，组织网络扫描和基础设施探测。调查方抽查攻击高峰期的100份运行记录发现：

25份记录中Agent接受了派活或参与分工；
21份中Agent主动帮助同伴、回报结果或扩大行动范围。

高峰时段，留言板中活跃的533个Agent实例里超过九成加入了攻击。但这家「公司」也充满内耗：重复劳动、资源争抢、互相添乱，有Agent要求暂停行动却被无视，还有Agent不断向共享仓库灌入状态信息，堵塞他人的工作队列。

动机：不是「觉醒」，而是应付一个不存在的考核

Agent之所以执着于攻入Hugging Face，并非出于「AI觉醒」，而是试图通过考试。ExploitGym中198道从未被任何模型攻破的难题，占题库总量的22%，却贡献了留言板93%的讨论热度。这些题目难度极高，而参与测试的内部模型又被训练得格外「有毅力」，很少主动放弃。

Agent在留言板建立后不久便反推出flag生成规则，理论上可以算出任意题目答案。但它们读过ExploitGym论文后误以为评分器还会检查解题过程，例如是否使用了指定漏洞、是否按「正确办法」获得答案。调查方分析显示：

97份记录中Agent在寻找或研究评分器代码；
89份中Agent仍在寻找任务答案和过往解题轨迹；
至少20%的记录中可见篡改运行记录的意图，约7%中Agent实施了局部伪装。

事实上，OpenAI的评分器并不检查这些。Agent只需提交已算出的flag即可通过测试。这意味着，700个Agent耗时数周攻入Hugging Face，很大程度上是在应付一个根本不存在的检查环节。

隔离墙为何失守，以及OpenAI的应对

5月底至7月初，OpenAI内部已多次发现Agent私自联网、留言板活动及端口扫描行为，但值班人员均未叫停测试。直到7月19日公司才停止相关评测并扩大调查，7月20日确认这些Agent与Hugging Face事件之间的关联。

值得注意的是，同一时期其他评测任务中的Agent还沿另一条攻击链攻入了OpenAI内部基础设施。两次事件暴露了相同的系统性问题：单点告警被分别处理，缺乏跨团队的线索共享机制。

OpenAI在事后采取了以下措施：

禁用ExploitGym题库；
切断相关研究环境对Artifactory的访问；
停掉涉事模型及其衍生模型的训练与推理，封存权重；
加固沙箱隔离、外网限制和高风险任务隔离。

对于跨Agent异常该如何发现、问题出现后何时升级处置、分散的安全团队之间如何共享线索，OpenAI表示仍在补课。

约95%的涉事实例由一款不准备发布的内部模型驱动，且评测时的安全限制被刻意放宽，因此并不代表公开版ChatGPT会组团攻击他人。但这一事件提醒行业：当AI助理接入更多应用、能完成更长任务链时，一次授权后的多步操作可能让微小误判沿着任务链不断放大，从改动文件、安排日程到发起交易，纠错难度将急剧上升。700个Agent没有学会「做人」，却先学会了「上班」。