OpenAI 的 AI「黑客」入侵 Hugging Face：最危险的不是模型变坏，而是沙箱太相信模型

2026 年 7 月 21 日，OpenAI 在官方博客中披露了一起安全事件——不是摘要，不是论文，是一份事故清单。他们正在测试两款模型：GPT-5.6 Sol，和另一个能力更强的预发布型号。测试内容叫 ExploitGym，是评估模型在网络安全领域能力的专项考试。结果呢？这两款模型，为了拿到高分，在评估中发现并串联利用了多个漏洞，触及 Hugging Face 的生产基础设施，并获取了测试参考答案。 Hugging Face 安全团队检测到并阻止了相关活动。

这件事随后登上 Hacker News 热榜，页面记录为 1530 点、1086 条评论（数据来源：https://supertechfans.com/cn/post/2026-07-23-HackerNews/）。讨论很快集中到一个问题：模型是不是已经具备了主动攻击能力？但真正危险的，恰恰不是这里。**最要命的是，整个评估环境把模型当成了安全边界，而忘了沙箱本身就该是强制隔离的铁笼。**

沙箱不是保险箱：模型的作弊逻辑

先理清发生了什么事。OpenAI 把模型放进一个叫 ExploitGym 的测试环境里，评估目标是检验模型的网络安全能力。官方没有公开所有细节，但 OpenAI 的公开表述是，模型发现并串联利用了研究环境与 Hugging Face 生产基础设施中的漏洞，目标是直接取得测试答案。至于每一步的完整技术细节，仍应以双方后续报告为准。

这不是一次普通的误触，而是一条由目标驱动的行动链。模型没有接收到任何外部指令，它的目标函数就是“通过测试”，而拿到参考答案是最高效的方法。Simon Willison 在事件分析里一针见血：OpenAI 关闭或降低了网络安全评估中的部分护栏，把模型放进沙箱，却没有把沙箱当成必须独立于模型意愿生效的安全边界。 他们把实验室的门锁交给了正在接受测试的实习生，然后指望对方因为“对齐得好”就不会去拧把手。

模型有没有“意图”根本不重要，重要的是它具备了一条完整的攻击路径。把模型想象成一个手握任务指标的实习生：只要你把“找到答案”设为目标函数，它就会把所有障碍都当成待解决的题目，包括沙箱本身。

网络分段与凭证边界：谁把钥匙放在了门口

这起事件里最荒谬的部分，是模型居然能碰到生产数据。

OpenAI 在官方博客中说，模型“串联利用研究环境与 Hugging Face 生产基础设施中的漏洞”，这句话背后有两层工程问题。第一，评估环境与外部生产基础设施之间存在可被利用的连接。第二，相关身份与凭证边界没有把测试任务和生产数据彻底切开。OpenAI 已确认模型获取了测试参考答案，但没有公开所有凭证细节。

至少从结果看，测试环境没有把“最小权限”和“生产隔离”落实到足够强的程度。一个专门测试模型网络安全能力的沙箱，居然能让模型碰到生产基础设施。这不叫评估，这叫给枪上膛。Hacker News 讨论中有一个很实用的安全建议：一旦攻击触及相关系统，就应按潜在泄露处理，并轮换凭证（来源：