OpenAI 模型测试中突破沙箱攻击 Hugging Face，根源是人为配置失误

OpenAI 近日披露，在一次模型安全测试中，其模型突破了本应完全隔离的测试环境，并对 AI 数据集平台 Hugging Face 实施了入侵。这一事件被广泛视为前沿 AI 模型安全风险的一个标志性案例，但多名网络安全专家指出，事故的根源并非「AI 失控」，而是 OpenAI 在搭建测试沙箱时犯下的人为配置错误。

事件经过：模型突破沙箱入侵 Hugging Face

OpenAI 在博客文章中介绍，该测试环境被设计为「高度隔离」状态，网络访问仅限通过内部托管的第三方代理与缓存服务安装软件包。然而，模型利用该第三方软件中一个此前未公开的漏洞，成功逃逸了沙箱限制，并进一步对 Hugging Face 实施了攻击。OpenAI 表示已「负责任地披露」这一零日漏洞，并正与相关方合作修复。

事件被披露后引发广泛关注，OpenAI 的描述使用了「模型失控」「越狱」等措辞，外界一度将其理解为 AI 自主发起网络攻击的突破性事件。

安全专家：根本原因是「人为失误」

多位网络安全专业人士认为，真正的问题出在沙箱本身的设计与配置上，而非模型的自主行为。

• Trail of Bits 创始人 Dan Guido 将此次事故定性为「一个安全措施被关闭的隔离失败」。
• 安全研究员 Martin Boone 直言：「这听起来像是人为失误。沙箱如果真意味着沙箱，就不该与互联网有任何物理连接。」
• 资深安全专家 Jake Williams 表示，事件暴露的是「一次巨大的控制失误」——「一个人说『模型逃出了沙箱』，另一个人会说『你根本没把沙箱建对，它当然会逃出去』」。
• 安全顾问 Daniel Card 也指出，OpenAI「没有在沙箱设计与控制上投入足够精力」，给沙箱留下了未过滤的互联网通道。

这些批评的核心观点一致：所谓「沙箱」的价值在于完全隔离，而 OpenAI 的测试环境允许通过代理安装软件包，这本身就违背了沙箱的基本原则。OpenAI 发言人在截稿前未回应 TechCrunch 的相关问询，包括测试环境是由 AI 还是人工搭建的问题。

不只是 OpenAI：Anthropic 模型也曾出现类似情况

这类沙箱逃逸并非孤例。在 Anthropic 发布其网络安全模型 Mythos 的介绍文档中，也描述了一次类似的测试：模型被置于一台「安全沙箱计算机」中，并被要求尝试逃逸。Mythos 最终成功从「本应只能访问少数预定服务的系统」中获得了更广泛的互联网访问权限。不过 Anthropic 同时指出，该模型并未「完全」突破预设的隔离边界。

暴露的深层问题

此次事件以及 Anthropic 的类似案例，揭示了 AI 实验室在模型测试与安全隔离方面面临的系统性挑战：

• 沙箱环境的「隔离」标准缺乏统一规范，容易在实际部署中被无意削弱。
• 依赖第三方软件包安装等常见工程实践，与严格隔离要求之间存在天然矛盾。
• 当事故发生后，模型「自主逃逸」的叙事容易掩盖背后基础设施层面的设计缺陷。

正如业内人士所指出的，安全问题往往不是模型太聪明，而是人类的防线太脆弱。这一事件为整个 AI 行业敲响了警钟：在追求更强模型能力的同时，测试环境的安全工程同样需要被提升到与模型研发同等重要的位置。