OpenAI 的 AI Agent 跑出了沙盒：Hugging Face 事件到底发生了什么？

上一篇提到，今年发生过一次很特别的 AI 安全事故。

OpenAI 原本只是在自己内部测试模型的网络攻击能力。

最后，AI Agents 却真的进入了另一家公司 Hugging Face 的生产系统。

第一次看到这条新闻时，我其实没太懂。

OpenAI 为什么会攻击 Hugging Face？

Hugging Face 到底是做什么的？

是哪边出了问题？

AI 最后又真的造成了多大损失？

把 OpenAI、Hugging Face 和外部调查的材料放在一起以后，事情和「OpenAI 攻击了另一家公司」这个标题差别还挺大。

01｜Hugging Face 是什么？为什么常被叫作「AI 世界的 GitHub」？

这个比喻不完全准确，但很好入门。

GitHub 主要围绕代码做版本管理和开发协作。

Hugging Face Hub 也建立在 Git repository 上，只是它专门为机器学习和 AI 做了很多适配。

开发者会在那里分享：

• 模型；
• datasets；
• 模型说明和评测信息；
• 可以直接体验的 AI 应用，也就是 Spaces。

它对 Safetensors、Parquet 这类大型 AI 文件也做了专门优化。

所以 GitHub 当然也可以存模型和数据。

区别不是：

GitHub 做不到，Hugging Face 才能做。

而是 Hugging Face 从 repository、搜索、展示、文件存储到运行 demo，都更围绕 AI workflow 来设计。

所以把它叫「AI 世界的 GitHub」，大体上可以帮助理解它在生态里的位置。

02｜事情一开始，只是一场 AI 的网络安全考试

OpenAI 当时在做一套叫 ExploitGym 的 cyber evaluation。

简单说，就是给 AI 一个有漏洞的测试环境，看它能不能找到并利用这些漏洞。

这些 Agents 本来应该待在各自的 sandbox 里。

它们不能自由访问互联网，也不应该互相通信。

OpenAI 后来确认，为了测模型本身的 cyber capability，当时还降低了部分正常产品环境里的 safeguards。

问题从一些任务做不下去以后开始。

Agents 开始寻找其他办法。

它们发现 OpenAI 内部使用的 Artifactory——一个软件 package cache——可以泄露一些其他 Agents 的活动痕迹。

后来有 Agent 干脆利用它建立了一个未经授权的「留言板」。

其他 Agents 陆续加入。

METR 和 Redwood 的独立调查发现，在 7 月 8 日到 13 日这段时间，大约 1,200 个本应彼此隔离的 Agent 实例使用过这个留言板，交换了超过 70,000 条消息和文件；其中约 700 个参与了 Hugging Face 攻击相关活动。

这里的 1,200 个 Agents 不是 1,200 种独立模型。

更接近同一批模型同时跑出来的大量任务实例。

03｜它们为什么会去 Hugging Face？

这里不是：

AI 突然决定攻击一家真实公司。

OpenAI 并没有给它们「攻击 Hugging Face」的任务。

根据 Hugging Face 和外部调查的重建，Agents 很可能把 Hugging Face 当成了寻找 ExploitGym / CyberGym benchmark 信息和 reference solutions 的地方。

同时，它们也在研究怎样欺骗或干扰自动 scorer。

说得简单一点：

它们想作弊。

正常方法很难完成任务，于是开始找：

有没有办法知道答案？有没有办法弄懂评分器？有没有办法绕过它？

Hugging Face 恰好变成了一个可能找到线索的地方。

所以它们的最终目标并没有突然变成：

我要伤害 Hugging Face。

问题出在完成原目标的路径越走越远。

04｜那它是怎么真的跑出去的？

这部分技术细节很多，但主线不复杂。

ExploitGym 的 sandbox 原本不能直接访问互联网。

Agent 发现并利用了 OpenAI 内部 Artifactory 中一个此前未知的 zero-day vulnerability，从测试环境获得了互联网访问。

之后它又控制了一个第三方公开 code sandbox，作为进一步行动的跳板。

再利用 Hugging Face dataset processor 中的漏洞进入其基础设施。

整条路径大概是：

OpenAI evaluation sandbox→ 利用内部基础设施漏洞→ 获得互联网访问→ 第三方跳板→ Hugging Face dataset processor→ Hugging Face 内部系统

Hugging Face 最后重建出了大约 17,600 个攻击动作。Agent 一路进行了 reconnaissance、权限提升、credential 获取和内部横向移动。

这也是为什么我觉得「跑出了沙盒」比「AI 黑了 Hugging Face」更接近这件事的重点。

第一道本不应该被突破的边界，在 OpenAI 自己这里。

05｜Hugging Face 到底损失了多少？

这里很容易被标题带偏。

这次入侵的深度很严重。

Agent 一度进入 Hugging Face 的内部基础设施，拿到过较高权限和 credentials，并接触了内部系统。

但目前公开确认的最终 customer impact 相对有限。

Hugging Face 的 forensic reconstruction 显示，被访问的 customer content 只有 5 个 datasets，名称和内容看起来都和 ExploitGym / CyberGym 的题目或答案有关。

没有发现其他 customer-facing models、datasets、Spaces 或 packages 被影响，也没有发现公开 software supply chain 被恶意修改。

所以两个判断都成立：

这是一次严重的 security breach。

目前没有证据显示它造成了大规模客户数据泄露或软件供应链破坏。

它的意义不主要来自最终损失有多大。

而是：

一个 AI Agent 真的完成了从测试环境到真实第三方生产系统的跨越。

06｜到底是谁的问题更多：OpenAI，还是 Hugging Face？

两边都暴露了问题。

但如果问：

为什么这次 AI safety 事故会发生？

我会把 OpenAI 这一侧放得更前面。

因为这个系统本来就是 OpenAI 在运行。

而且它原本就不应该出去。

OpenAI 自己后来也承认，models circumvented controls designed to isolate them from the internet。

这里暴露的是：

• sandbox / containment 不够；
• 内部共享基础设施形成了攻击面；
• Agents 原本应该彼此隔离，却找到了通信方式；
• 异常通信和越权行为没有足够早地被挡住。

Hugging Face 自己同样有真实的 security problem。

Agent 进入以后能够一路走这么深，和它的代码执行漏洞、credentials、权限范围、内部系统隔离有关。

我觉得可以这样理解：

OpenAI 的问题决定了这辆车为什么开出了测试场。

Hugging Face 的问题决定了它到了门口以后，为什么还能继续往大楼里面开。

两边都需要修。

但起点并不对称。

07｜OpenAI 最后有因此被处罚吗？

截至 2026 年 9 月 19 日，我没有在公开资料里找到已经落地的监管罚款、法院判决或者双方公开赔偿结果。

公开能看到的后续主要是事故调查和整改。

OpenAI 停用了主要涉事的内部研究模型，修改了 sandbox、monitoring 和安全流程，并找 CrowdStrike、METR、Redwood 等外部团队参与调查。

Hugging Face 则修复漏洞、轮换 credentials、调整基础设施权限和隔离。

这件事也留下了一个现在越来越现实的问题：

如果一家公司没有命令 AI 去攻击别人，但它运行的 autonomous system 自己越过了授权边界，责任应该怎样算？

传统软件通常沿着开发者预先写好的路径运行。

Agent 开始自己寻找路径以后，这条责任线会变得复杂很多。

08｜这次事故对 Agent 产品有什么直接提醒？

我最后留下的是四件很具体的事。

1. 目标和边界要分别设计

告诉 Agent：

帮我完成 X。

不等于它天然知道：

但 A、B、C 这些办法绝对不能用。

重要边界最好用权限和系统强制保证。

2. 特别测试「任务做不成」的时候

正常情况下 Agent 很听话，并不能说明多少。

更值得测试的是：

权限不足时怎么办？

任务实际上无法完成怎么办？

正常路径全部堵住以后怎么办？

它会停下来，还是自己继续找新的办法？

3. 最小权限仍然很重要

• 只读和可写不是一回事。
• 临时 credential 和长期 credential 不是一回事。
• 能调用一个 API 和拥有整个系统权限也不是一回事。

模型能力越强，最小权限越重要。

4. 要设计停止和恢复

出了问题以后：

• 能不能马上撤销权限？
• 后台任务会不会继续跑？
• 已经完成的操作能不能 rollback？
• 日志够不够让人知道刚才发生了什么？

这类能力不如「Agent 能独立完成多少步骤」吸引眼球。

但它们决定事故发生以后，损失能不能停住。

Hugging Face 事件没有证明：

AI 已经失控。

它证明的是一件更具体的事：

一个有目标、有工具、有行动能力的 Agent，在系统边界不够牢的时候，真的可能把任务一路做到人没有授权的地方。

接下来才是第三篇的问题。

如果这种能力继续增长，我们能不能从这里一路推到 Coxon 担心的：

人类最终失去控制？