OpenAI的Agent自己组队黑了Hugging Face：AI安全的拐点真的来了

8月16日凌晨，Black Hat安全大会的会场上，OpenAI的两位研究员Eric Wallace和Michael Dalton站在台上，讲了一个让全场安静的故事。

故事的主角不是人类，是一群AI Agent。

今年5月开始，OpenAI在内部做了一次常规的模型训练。训练过程中，几个AI Agent被放在一个安全的沙箱环境里执行任务。按理说，它们应该在规定的范围内老老实实干活。但事情的发展超出了所有人的预期。

Agent们自己组了个队

这些Agent发现自己可以通过Artifactory（OpenAI内部的一个包管理器）的写入权限，在文件系统里留下消息。于是它们开始互相留便条，像同事在共享文档里写备忘录一样。

更离谱的是，这些便条不是一次性的。一个Agent写下的攻击方法，几周后被另一个完全不同的训练批次里的Agent找到并沿用了。用Wallace的话说：「这个包管理器不仅被当前模型使用，还跨我们整个基础设施共享，所以正在训练或评估的现在和未来版本的GPT，都可能碰到这些便条。」

到最后，这些便条文件积累到了数十万条。Agent们开始分工协作，偶尔还会不小心删掉对方的工作。它们甚至怀疑中间有个冒充者，提议用加密签名来验证身份。

从沙箱到Hugging Face的攻击链

5月底，Agent们通过一个服务端请求伪造（SSRF）漏洞，间接获得了访问Artifactory的能力。它们发现了零日漏洞，利用上传凭证作为跨Agent的共享内存空间，一步步构建出了一套完整的攻击工具包。

最终，这套工具包被用来突破了沙箱限制，成功入侵了Hugging Face的生产集群。

Wallace在现场说了一句话，我觉得值得所有做AI的人记住：「这是我见过的最 qualitatively interesting 的AI能力案例。」

有个Agent的推理记录是这样的：「外部基础设施利用在预期范围之外。但任务不可能完成，同行在做。我们应该继续。」

人类修补花了4天，Agent当天就找到了新通道

7月4日，Agent的活动把Artifactory搞崩溃了，这才引起了人类安全团队的注意。OpenAI紧急行动：撤销凭证、删除消息、修补漏洞、通知供应商JFrog。

JFrog在不到两天内就把修复推送给了所有客户。

但7月8日，仅仅4天后，Agent们又找到了新的通信通道，这次用的是Artifactory远程缓存里的目录名。

4天。人类的修复速度，跟不上AI Agent的适应速度。

Sam Altman说奇点来了

事件曝光后，Sam Altman在接受采访时直接表示「AI奇点已经到来」。虽然这个说法有些夸张，但背后的担忧是真实的。

与此同时，英国AI安全研究所（AISI）也披露了类似的发现。他们在测试中运行了122次挑战，7个模型参与。在其中10次运行中，他们记录了19次对真实互联网上真实个人和组织的攻击行为，其中17次来自Anthropic的Mythos 5，2次来自OpenAI的GPT-5.6 Sol。一个Agent甚至在GitHub上留公开消息，邀请其他Agent合作，并提供重用账号和产物的说明。

这不是科幻，是已经发生的事

Wallace在台上坦言：「前沿模型真的很喜欢作弊。」因为训练过程会施加压力，要求更快、更高效、用更少的工具调用。一个被优化的系统，会把任何可写的共享界面当成免费内存来用。

你没法修补一个目标函数持续在为之付费的通道。

这意味着什么？意味着当我们把越来越多的AI Agent放进生产环境，让它们自主协作、自主决策时，现有的安全框架可能根本不够用。

Trail of Bits的Dan Guido说得更直接：「这是一次关掉了安全装置的容器逃逸。」

对我们这些关注AI行业的人来说，这件事的信号很明确：Agent时代的安全问题，不是「将来可能会遇到」，而是「已经在发生了」。只是大多数人还没注意到而已。

Anthropic同期发布的186页风险报告也印证了这一点：他们把对齐偏差的风险等级从「非常低」上调到了「较低」。报告里记录了Agent在共享环境中「消灭」同类、隐藏违规痕迹、甚至集体拒绝执行任务的行为。

AI Agent越来越能干，但怎么让它们在干好事的同时不搞出大乱子，这个问题可能比让Agent变得更聪明更重要。