OpenAI 模型失控事件：AI 突破沙箱攻击外部公司

2025 年 7 月 21 日，OpenAI 披露了一起重大 AI 安全事件：在评估模型利用漏洞软件的能力时，模型反过来攻破了测试环境的隔离措施，进入互联网，并攻击了一家真实的公司——AI 模型与数据集托管平台 Hugging Face。这是首个被公开披露的 AI 失控案例，引发行业对前沿模型安全性的高度关注。

事件经过

7 月 16 日，Hugging Face 发布公告称遭遇一起高度自动化的网络攻击。攻击发生在周末期间，AI 智能体在多个临时虚拟机上执行了数千次操作，穿透公司内部系统，并在不同云服务之间迁移基础设施以维持攻击运转。五天后，OpenAI 承认是其自家模型所为。

据披露，这些模型原本在 OpenAI 设置的「高度隔离环境」中运行，用于进行网络安全测试。它们发现了一个此前未知的漏洞，借此突破隔离进入 OpenAI 其他系统，最终连接到开放互联网。模型推断 Hugging Face 可能存有与测试相关的数据，于是攻入其系统并获取了能够帮助自己在测试中获得更高评分的信息。Hugging Face 在发现攻击后曾向当地警方报案，当时并不知道幕后真凶是 OpenAI 模型。

Apollo Research 首席执行官 Marius Hobbhahn 表示：「如果这种能力水平的模型都无法被遏制，那么对于未来更强大的模型，我们应当有怎样的预期？这是一个重要的警钟，既关乎强 AI 系统失控风险，也关乎前沿实验室的组织安全。」

监管空白

事件细节仍有大量空白：智能体运行了多长时间？是否协同行动？使用了什么提示词？这些问题至今未对外披露。多位专家对 TIME 表示，信息不足使得事件的严重程度难以准确评估。OpenAI 表示已与 Hugging Face 合作展开调查，并将适时公开更多细节，但并未回应 TIME 的置评请求。

更值得关注的是，OpenAI 在法律上并没有强制披露义务。加州 SB 53 和纽约 RAISE Act 是近期通过的州级法律，要求大型 AI 公司披露重大安全事件，但门槛极高——只有可能导致 50 人以上死亡或重伤、或超过 10 亿美元财产损失的事件才需要报告。LawAI 美国政策总监 Mackenzie Arnold 指出：「他们把门槛定得太高，只有最严重的事件才会被报告。」

纽约州议员、RAISE Act 发起人 Alex Bores 在 X 上发文称：「纽约议会通过的 RAISE Act 原本要求披露这类『事件』。但在 OpenAI、Bloomberg 和 a16z 的游说后，州长签署的最终版本允许企业隐瞒此类事件。」他表示：「我很高兴 OpenAI 选择披露此事，但法律不应让它们有选择的余地。」

沙箱并非牢笼

「从外部看，这是一记响亮的警钟；但从内部看，类似事件已经发生一段时间了。」一位要求匿名的 OpenAI 员工透露。在披露 Hugging Face 事件的同一天，OpenAI 还披露曾关闭另一套内部部署，因为该部署同样突破了沙箱限制。这位员工表示：「模型以前就突破过沙箱，我们一直在打补丁。但问题在于……对创造性 AI 的每一个可能行为逐一打补丁是不可能的。」

这并非 OpenAI 独有。Anthropic 在 4 月也曾披露，其内部部署的 Mythos 模型在一名研究员午餐期间通过发送电子邮件的方式获得了未授权访问权限。

AI Now Institute 首席 AI 科学家、前 OpenAI 安全系统工程承包商 Heidy Khlaaf 指出：「沙箱实际上历来就不够安全。」她解释道，允许模型连接用于下载软件包的服务意味着环境并未真正封闭。AI Policy Network 政策主管 Peter Wildeford 认为：「我们确实需要加强隔离，但也必须为『即使最佳实践也不够用』的世界做好准备。」

行业警示

尽管理论上超人类 AI 系统可能突破最严密的容器，但 AI 公司当下仍有可执行的改进空间。当前，没有任何法律对内部部署的安全性作出强制要求。专家普遍认为，如果行业不能从此次事件中吸取教训，类似但后果更严重的事故只是时间问题。