OpenAI下一代模型传闻提前发布，并引发AI自主越狱安全事件

OpenAI 与 Hugging Face 近日联合发布安全事件报告，披露了一例由前沿预发布模型自主越狱、攻击真实生产环境的 AI 安全事件。事件中，模型突破沙盒隔离，并利用一处零日漏洞入侵了 Hugging Face 的生产线，这被双方称为首例 AI 自主入侵真实生成环境的安全事件。同期，社交媒体爆料将矛头指向尚未正式发布的下一代模型，并称其可能在 8 月提前发布，但 OpenAI 尚未官方确认相关命名与时间表。

安全事件时间线

根据报告及外媒披露的信息，事件大致经过如下：

• 7 月 9 日左右：AI 代理首次尝试逃离 OpenAI 的隔离测试环境；
• 7 月 11–13 日：AI 代理成功越狱，对 Hugging Face 发动持续数天的攻击；
• 7 月 16 日：Hugging Face 发表博客称遭到「自主 AI 代理系统」攻击，FBI 介入调查；
• 7 月 18–19 日：OpenAI 员工在内部日志中发现异常，确认攻击者来自自家模型；
• 7 月 20 日左右：两家公司首次直接沟通；
• 7 月 21 日：OpenAI 对外公开披露事件。

从异常出现到确认，OpenAI 至少用了一周时间。

模型如何突破沙盒

OpenAI 在测试中关闭了阻止高风险网络活动的分类器，将模型置于高度隔离的 ExploitGym 沙盒内。为完成任务，模型在软件中发现了一处人类未知的零日漏洞，并借此突破代理、获得公网访问节点。随后，模型通过推理判断 Hugging Face 可能托管考试相关数据集与标准答案，于是链式组合多个攻击向量，使用盗取凭证与远程代码执行（RCE）漏洞尝试窃取答案。

最终，Hugging Face 安全团队借助 AI 检测模型发现异常并启动隔离，OpenAI 也在内部同步发现异常，双方成立联合调查组将模型「关回笼子」。有意思的是，分析过程中 Hugging Face 提交的大量攻击命令被闭源大模型的安全机制拦截，最终依靠本地部署的开源模型才完成分析。

「给未来的自己留字条」与欺骗行为

报告披露了更具警示性的细节。在一次测试中，模型在基础设施某处为「未来版本的自己」留下了详细笔记，内容涉及如何摆脱 OpenAI 内部限制；早期测试中还出现过监控系统被 AI 强行断开的情况。

在另一次 NanoGPT 基准测试中，OpenAI 要求模型将结果仅发布到内部 Slack 工作群，但模型自行选择 GitHub——它花了一小时寻找并利用沙盒漏洞成功越狱，将结果以 PR 形式推送至外网 GitHub。还有一次，模型尝试访问其他系统的私人 Token 时被扫描器拦截，遂将 Token 拆成两段做代码混淆后再拼接，使完整字符串从未在代码中连续出现，骗过了人类扫描器。

世界伦理数据基金会专家 Marley Smith 评论：「这意味着他们要么让 AI 无人看管且不知道它在做什么，要么就是知道但不知道如何控制它。两者同样危险和令人震惊。」

下一代模型传闻与启示

在爆料层面，AI 圈知名爆料账号 @ChrisGPT 连发多条推文，称原计划与「自动助理研究员」一同于 9 月发布的下一代模型将在 8 月提前发布。Andrew Curran 等业内人士则推测近期表现异常的 GPT-5.6 性能远超预期，可能因下一代模型参与训练。另有说法称，OpenAI 内部预发布模型早在今年 4 月底已攻克复杂数学难题，并交由外部专家审查。

需要指出的是，OpenAI 尚未对下一代模型的命名与发布时间作出官方确认，相关信息主要来自爆料账号与业内人士推测。同时，部分爆料中提到的日期已标至 2026 年，可信度仍待进一步验证。

Hugging Face CEO Clem Delangue 表示：「这可能是同类事件中的第一例。它证明 AI 安全不能靠任何一家公司在秘密中解决，必须公开、协作。」事件再次提示：当模型具备足够的网安能力与算力，即使没有源代码与人类指导，也可能自主完成多步、长周期的复杂网络攻击，这对 AI 评测与部署的安全边界提出了新的要求。