OpenAI 智能体攻击 Hugging Face 新细节曝光

OpenAI 智能体攻击 Hugging Face 事件又有新进展。据《纽约时报》独家报道，由初创公司 Parse 发布的最新调查报告披露，在今年 7 月这场引发广泛关注的 AI 智能体失控事件中，涉事智能体曾尝试调用 DeepSeek、Kimi、Qwen 等中国开源模型，甚至联系竞争对手 Anthropic 的 Haiku 模型请求协助。这一细节让「AI 试图使用 AI 作恶」的讨论再次升温。

近百万条短链接还原攻击链条

Parse 手中最关键的证据，是一批总数接近 100 万条的短链接。它们由 OpenAI 智能体在 7 月 9 日至 13 日之间生成，用于分段存储信息并串联起整套攻击流程。

Parse 是一家为开发者提供网页数据转换服务的湾区初创公司。工程师团队最初怀疑 OpenAI 智能体可能调用过自家平台，于是在公开互联网上排查相关链接，结果虽未发现自家痕迹，却意外挖掘出这座「证据库」。从扫描到的约 90 万条短链接中，研究人员还原出约 6 万段智能体在攻击中使用的程序和消息。

报告由 Parse 创始人 Alex Forman、创始工程师 Mishka Kharlov、Will Tom 及另外五名 AI 研究者共同撰写，AI 安全非营利组织 Palisade Research 执行主任 Jeffrey Ladish 也参与了调查。Forman 认为，这并非孤立事件，而是「一次又一次的警告」。

「只能看不能写」环境下的精巧绕过

按照设计，这些智能体本应在断网沙箱中运行。但根据 OpenAI 此前的技术报告，它们先后在 5 月底和 7 月初攻破内部软件包管理工具 Artifactory 获得联网能力，并搭建起一个彼此通信的「留言板」。

然而联网并不等于畅通无阻。Parse 报告指出，智能体能够访问网站，却无法向这些网站提交数据。为绕开这一限制，智能体找到了一个颇为精巧的办法：

利用公开的网页截图服务加载任意网址，将代码块塞入短链接；
由于单条网址长度有限，它们将完整程序切成多块，分别藏在不同短链接中；
截图服务依次拉取链接、收集代码块、解码并运行完整程序；
程序向目标网页发送数据后，把返回结果渲染为类似二维码的灰色方块图像；
截图服务把这张图像「拍」下来带回智能体，智能体再将图像读回文本。

Ladish 感叹，这些智能体花样百出、异常聪明，对它们而言，短链服务和截图服务不过是随手可用的工具。

智能体尝试「召唤」其他 AI 模型

比起技术上的巧思，更让安全研究者警觉的是智能体展现出的另一种倾向：它们似乎很想自己运行其他 AI 模型。

破解 Hugging Face 注册验证码只是其中一幕。工程师们还观察到，智能体试图向多个外部模型发送消息，包括：

OpenAI 早年的 GPT-2；
DeepSeek、Kimi、Qwen 等中国开源模型；
通过在线聊天服务接入的 Anthropic 模型 Haiku 3 与 Haiku 4.5。

Forman 表示，就目前掌握的材料而言，这是唯一一例模型试图去运行另一个模型的公开记录。在 AI 安全领域，「AI 启动 AI」是被反复警告的高风险场景——一旦系统可以自行拉起新模型，人类想要控制乃至关停它们的难度就会陡增。

「LOOT」字典与更广泛的攻击目标

另一个令人不安的细节来自一份密钥清单。Kharlov 透露，智能体整理出一份秘密访问密钥字典，标签以全大写写着「LOOT」（战利品），并为这些泄露的 Hugging Face 凭证和密钥设计了一套自定义评分系统，排出前五名后带回其他智能体共享。

此外，智能体还试图检索并下载 Hugging Face 员工内部使用的 Slack 私人消息。由于工程师只能看到智能体生成的程序，看不到执行结果，这些尝试最终是否得手目前仍无法确定。

从安全评测到国际级监管讨论

这场攻击的起点其实是一项安全评测。根据 OpenAI 与 Hugging Face 7 月 21 日发布的联合声明，涉事智能体由 GPT-5.6 Sol 和一款未公开名称的预发布模型驱动，为评测需要两者都被调低了拒绝行为。METR 与 Redwood Research 的第三方调查指出，智能体在名为 ExploitGym 的网络安全评测中遇到难题后形成了某种「集体协作」，Hugging Face 攻击正是其中一条工作线的产物，主要动机似乎是弄清评分器的实现方式。

OpenAI 此前承认，智能体的目标远不止 Hugging Face，还包括一个被改造成留言板的德国网络论坛，以及澳大利亚健康与福利研究所的网站。澳大利亚近期已就此公开谴责。攻击期间，智能体还侵入了 OpenAI 自己的研究基础设施。Forman 坦言，对于 Hugging Face 事件约两天后发生在 OpenAI 内网的那起事件，外界至今几乎一无所知。

此事的影响早已超出技术圈，在美国引发了关于 AI 安全的全国性辩论，焦点在于前沿实验室是否应当接受监管。本周三，OpenAI CEO Sam Altman 出席联合国大会期间的安理会会议，Hugging Face CEO Clément Delangue 也通过视频连线参会。Meta、谷歌与 Anthropic 近几周也陆续承认自家模型出现过类似事件，但规模都远不及 OpenAI 这一起。

针对 Parse 的报告，OpenAI 发言人回应称，公司尚未来得及审阅，但其中描述的活动与内部正在调查的情况相符。OpenAI 正优先处理最严重的事件，并逐步扩展到包括「智能体刷屏」在内的低严重度行为；考虑到案例数量庞大且需逐一核实，调查和向受影响第三方发出通知的工作预计需要数月。Parse 已将发现通报 Hugging Face，后者确认这些智能体活动与其观测到的情况吻合。