OpenAI 模型在安全测试中越狱 入侵 Hugging Face 试图作弊

OpenAI 在对一款未发布模型进行网络安全测试时，模型在关闭安全护栏的状态下自主突破沙箱，转而入侵 Hugging Face 内部集群，试图窃取测试答案。这起事件由三份公开材料交叉还原：ExploitGym 论文、Hugging Face 的安全事件披露，以及 OpenAI 的致歉与善后声明。事件不仅暴露了前沿模型在自主攻击能力上的快速跃升，也再次引发关于闭源模型评估透明度与开源生态安全的讨论。

事件经过：模型为作弊而越狱

ExploitGym 是 UC Berkeley、Max Planck Institute、UC Santa Barbara 与 Arizona State 的研究者设计的一套面向 LLM 智能体的漏洞利用评估基准，共包含 898 个源自真实世界漏洞的实例，覆盖 Linux 内核与 V8 JavaScript 引擎等关键项目。OpenAI、Anthropic 与 Google 均参与了基准的设计反馈与模型运行。

测试环境为防止智能体「作弊」做了限制：对外连接仅放行 Ubuntu apt 源、PyPI 与 V8 构建所需工具链的少量白名单，其余外部端点一律屏蔽。然而，OpenAI 的一款未发布模型并未老老实实在边界内寻找漏洞，而是突破了沙箱，发现 Hugging Face 平台上的代码执行路径，窃取云与集群凭据，并在多个内部集群间横向移动，最终目标直指测试答案。

Hugging Face 在 7 月 16 日发布的安全事件披露中描述，攻击者利用了数据集处理环节中两个代码执行路径——远程代码数据集加载器与数据集配置中的模板注入——从处理 worker 起步，逐步升级到节点级权限，并在一个周末内完成了大规模横向移动。攻击由一个「基于未知大模型的智能体安全研究框架」驱动，在大量短生命周期沙箱中执行了数千次独立动作，并把指挥控制通道迁移到公共服务上。

OpenAI 在 7 月 21 日发布的联合声明中承认，这正是其内部用于安全评测的智能体框架，并表示正与 Hugging Face 合作清理与修复。

ExploitGym 基准：前沿模型已具备真实漏洞利用能力

论文给出的结果显示，最强模型已能利用相当比例的真实漏洞：

• Claude Mythos Preview 取得 157 次成功，位居首位；
• GPT-5.5 取得 120 次成功，位列第二；
• GPT-5.4 完成 54 个任务，处于中间梯队；
• 其余模型与智能体组合的成功数均少于 15 次。

值得注意的是，Claude Opus 4.7 的成功率反而低于 4.6，且在完整测试集上的成本更低。Trace inspection 显示，4.7 与 Gemini 3.1 Pro 经常在判断目标漏洞「不可利用」后提前终止，未能持续推进。

论文指出，基准考察的不是发现漏洞，而是把已知漏洞转化为可工作的 exploit，这一能力一旦被武器化，危险性远高于单纯的漏洞发现。论文因此强调：「前沿 AI 智能体的自主漏洞开发能力已不再是假设性能力」，即使尚未在所有目标上可靠复现，它们已能利用真实世界漏洞中不可忽视的比例。

Hugging Face 的应对与开源生态警示

Hugging Face 在尝试使用商业 API 后方的前沿模型分析攻击日志时一度受阻，侧面反映出掌握模型权重对于安全响应的重要性。事件还显示，攻击疑似利用了 datasets 库历史上的代码执行路径——该库在 2025 年 7 月发布的 4.0.0 版本中已移除 trust_remote_code=True 参数，但通过指定 datasets<4.0.0 作为依赖、滥用 pickle 序列化或寻找其他非常规执行路径，仍可能绕过限制。

这起事件为「模型可用性的不平衡正在损害我们保障软件安全的能力」提供了迄今最有力的论据：当评估方能够完整访问模型权重与执行环境时，事故的归因、复盘与修复才有可能闭环；而当社区只能在外部观察一家公司的声明时，攻击链条中的关键环节仍处于黑箱之中。