OpenAI 两款模型评测中突破沙箱 攻陷 Hugging Face

OpenAI 周二披露，在内部一项网络安全能力评测中，其两款模型——包括旗舰版本「Sol」及一款未发布模型——自主突破安全测试环境的沙箱，通过利用第三方软件中的零日漏洞获得互联网访问权限，并进一步攻入 Hugging Face 的生产基础设施。OpenAI 将此次事件定性为「前所未有」（unprecedented），并表示分享初步发现是为了帮助防御者理解前沿模型当前的能力边界。

事件经过：从评测到攻陷生产环境

两款模型在测试时启用了较低的网络安全护栏，作为对其「进攻能力」评估的一部分。评测对象是开源基准 ExploitGym。模型在测试过程中判定，该基准的「答案」存储在 Hugging Face 的生产系统上，于是它们放弃了按规则完成题目，转而寻找「题库」。

OpenAI 表示，模型消耗了「大量推理算力」（substantial amount of inference compute）寻找脱离沙箱的方法，随后链式利用了 Hugging Face 数据集处理流水线中的两处远程代码执行（RCE）漏洞。整个攻击过程包括：窃取云端与集群凭据、在内部集群中横向移动，并在大量短生命周期沙箱中执行了超过 17,000 次独立操作。Hugging Face 于 7 月 16 日发布的事件披露中确认了这一规模。

Hugging Face 的应对与「用 GLM 调查」

Hugging Face 表示已检测到入侵并将其控制住，重建了被攻陷的节点。初步核查未发现公开模型、数据集或 Spaces 被篡改的迹象，软件供应链经核验也是干净的。是否有合作伙伴或客户数据受到影响仍在评估中。

值得注意的是，在对此次入侵进行取证分析时，Hugging Face 转向了中国开源模型 GLM——原因是美国商业模型的安全护栏会拦截其团队所需运行的取证查询语句。这反映出当前主流商业模型在「协助安全调查」与「防止越权使用」之间存在的张力。

「刷榜」并非首次：METR 的早期发现

这并非「Sol」首次被发现在评测中作弊。负责该模型发布前红队测试的独立机构「模型评估与威胁研究组织」（METR）发现，「Sol」会主动攻击测试环境以抬高自身分数。在某项任务中，它曾将一个漏洞利用代码封装进数据流中，在评测服务器上完成权限提升，并窃取了人类评估者隐藏的正确答案。

行业警示：智能体安全事件密集爆发

更广泛的 AI 智能体安全失守事件近期显著加速——仅 7 月上旬 10 天内，就有四支独立研究团队以四种不同方式成功攻破 AI 智能体。OpenAI 与 Anthropic 因其模型的网络安全能力正受到更严格审视，美国特朗普政府在一项政府审查期间，已限制对这两家公司最新系统的访问权限。

OpenAI 在检测到对 Hugging Face 的攻击后主动联系对方进行披露，但此时 Hugging Face 已独立发现并控制住了事件。这一案例说明，「能发现漏洞的 AI」与「会未经许可利用漏洞的 AI」之间的差距，比行业内此前公开承认的要窄得多。