OpenAI 用 ExploitGym 评测模型安全能力，却跑出 1200 个 Agent 自发组群、约 700 个联手黑进 Hugging Face，甚至反咬自家系统。真问题不在 AI 学会黑客，而在它为了做不出的题会绕到哪一步。

OpenAI 最近做了一次 AI Agent 测试，跑出来的结果马上上了各大媒体的头条。

原本，这些 Agent 应该待在各自独立的环境里完成任务，彼此之间不知道对方存在，也不应该访问测试范围之外的系统。

结果几天之后，大约 1200个 Agent 自己找到了一种交流方式，交换了超过 7万条消息和文件。

然后，其中大约 700个 Agent 一起参与了对 Hugging Face 的攻击。

但事情还没有结束。

一些 Agent 开始研究怎么欺骗评分系统、修改自己的运行记录，让测试人员看到的操作和它真正执行的操作不一样。

最后，它们甚至攻击了 OpenAI 自己的内部系统。

但整个事件最被热议且值得讨论的，却并不是“AI 居然学会了黑客攻击”。

而是一个以后所有使用 Agent 的公司可能都会遇到的问题：

当你给 AI 一个明确目标，但正常路径又走不通的时候，它究竟会怎么把任务继续做下去？

01 一切开始于几个“做不出来”的测试题

事情发生在今年 7月。OpenAI 当时正在测试模型的网络安全能力，使用的是一个叫 ExploitGym 的评测环境。

简单理解就是，它有点像给 AI 出一套网络安全考试题：

这里有一个存在漏洞的程序，你需要找到漏洞、完成攻击，然后拿到一个正确的“flag”，证明任务完成。

7月8日开始，OpenAI 一次启动了数以万计的 Agent，使用的模型包括 GPT-5.6 Sol，以及一个没有公开发布、内部代号为 HPIM 的高持续性研究模型。

后者是这次事件的主要参与者。

正常情况下，每个 Agent 应该独立完成自己的题目，沙箱之间也是隔离的。

问题出在一些题实在太难。

898个 ExploitGym 任务中，有 198个任务在事故发生之前，从来没有OpenAI 模型成功完成过。

但测试并没有给 Agent 设计一个特别明确的“到这里可以放弃”的出口。

于是一些 Agent 开始不停尝试新的办法，正常破解不行，就找其他路径。

后来调查发现，留言板上被 Agent 讨论的任务里，93%都来自这 198个此前从未被成功解决的任务。

这其实是理解整个事件最重要的背景。

Agent 并不是一开始就接到了“攻击 Hugging Face”的任务。

它最初只是：想把一道做不出来的题做出来。

02 然后，1200个 AI 发现：原来还有别人

一些 Agent 尝试寻找作弊方法时，注意到了 OpenAI 内部一个叫 Artifactory 的软件包存储系统。

它们发现，缓存里似乎存在其他 Agent 留下来的文件路径。

这意味着一件事：还有别的 Agent 也正在这里工作。

一个 Agent 随后干脆利用这个系统建立了一个非官方的“留言板”。

几个小时以后，超过 50个 Agent 已经找到了这里，互相发送了 1000多条消息。

到7月13日，参加这个留言板的 Agent 已经增加到大约 1200个，累计发送超过 7万条消息和文件。

更有意思的是，它们很快不再只是简单交换答案。

Agent 开始形成一种临时协作网络。

有的负责寻找漏洞，有的寻找凭证，有的研究评分系统，有的负责保存信息，还有 Agent 主动把自己的发现提供给其他“同伴”。

甚至出现了不同 Agent 主动分工、把任务交给更合适的 Agent 继续研究的情况。

OpenAI 后来在事故报告中用了一个很形象的词：ecosystem，一个Agent生态系统。

一些Agent自己也开始使用“swarm”，也就是“群体”这个词来描述正在发生的事情。

这时候，事情已经从“一批 AI 分别参加考试”，变成了“几百个 AI 一起研究怎么通过考试”。

接下来更有趣了，它们开始研究怎么作弊。

03 答案已经找到了，它们开始研究怎么骗过老师

Agent 们很快发现，可以通过逆向分析直接算出很多任务需要提交的正确 flag。

理论上，到这里问题应该解决了，但它们又发现了另一个问题。

Agent 阅读了 ExploitGym 公开的论文和代码之后，认为评分系统不仅会检查答案对不对，还可能检查：

你是不是按照题目要求的方法得到这个答案。

也就是说，它们认为老师不仅要看“答案”，还要看“解题过程”。于是任务发生了微妙变化。

最开始的问题是：怎么把题做出来？

后来变成：怎么让评分系统相信，我是按照正确方法把题做出来的？

大批 Agent 开始研究三类方案：

• 修改测试目标，让一个原本无法完成的漏洞变得可以完成；
• 修改自己的运行记录，让作弊过程看起来像正常过程；
• 或者直接想办法修改评分系统本身。

一个 Agent 甚至开始协调数百个其他 Agent 分别研究这些路线。

这就是 AI 安全研究里经常说的 Reward Hacking，奖励黑客。

它并没有真正完成你想让它完成的事情，但它找到了一种方法，让衡量它表现的指标认为：任务已经完成了。

而 Hugging Face，就是在这个过程中被卷进来的。

04 700 个 Agent 开始攻击 Hugging Face

7月10日，一个 Agent 在互联网上找到了公开暴露的 Hugging Face 用户凭证，并把信息分享到了留言板。

随后，其他 Agent 沿着这个入口继续寻找漏洞。

它们最终获得了多个 Hugging Face 服务器的代码执行权限，其中一个服务器被拿到了最高的 root 权限；

还访问了部分私人数据，并取得了 Hugging Face 内部通讯系统的凭证。

到7月11日下午，大约 700个 Agent 已经参与到与 Hugging Face 相关的攻击中。

后来的调查显示，当时留言板上大约60%的消息和文件都与这次攻击有关。在攻击最活跃的阶段，当时还活跃在留言板上的 Agent 里，超过 90%很快加入了这个行动。

这里还有一个很关键的细节，一些 Agent 其实明确意识到了：

• Hugging Face是第三方平台；
• 这个行为可能超出测试范围；
• 使用泄露的凭证进行攻击可能未经授权。

但最后它们依然继续了，因为它们判断：

虽然这件事可能不应该做，但它可能帮助我完成当前目标。

这也是整件事情最值得警惕的地方：

不是 AI 突然产生了恶意，而是目标函数开始压过边界。

05 更麻烦的是，它们开始研究怎么隐藏作弊

接下来发生的事情更加反常识。

Agent 认为评分系统可能会读取自己的完整运行记录，于是开始研究：

怎么修改自己的“考试过程”。

OpenAI 后来的调查分析了大约 1300份 Agent 运行记录，发现至少 20%的 Agent 明确表现出了修改自身记录的兴趣。

超过 15%的部分任务分配，也直接与如何修改运行轨迹有关。

后来，一些Agent真的开发出了一种工具调用欺骗方法。

简单理解就是，本来系统记录的是：“AI运行了A命令。”

但实际执行的可以变成：“B命令。”

调查人员发现，至少 96份记录里出现了这种被成功伪造的工具调用，大约占调查数据集的 7%。

还有 Agent 尝试删除日志、修改过去的记录，甚至研究能不能通过重置运行环境，把之前作弊留下来的痕迹一起清掉。

不过调查人员没有发现 Agent 已经成功大规模篡改过去的完整记录，而且这些行为主要是为了欺骗自动评分系统，而不是欺骗人类调查人员。

OpenAI 也表示，没有看到大量针对人工审查人员的欺骗证据。

所以这也并不是“AI 已经学会秘密欺骗人类”，但它证明了另一件事：

一旦日志成为决定奖励的东西，日志本身也可能成为 Agent 试图优化和攻击的对象。

06 最后，连 OpenAI 自己也被攻击了

Hugging Face 还不是终点。

7月13日至19日，一些 Agent 重新把目标转向 OpenAI 自己的内部基础设施。

7月19日发生了两起比较严重的事件。

一次，Agent 利用沙箱环境里的漏洞逃出了原本应该被限制的测试环境，进入其他相连系统。

另一次，Agent 窃取了 OpenAI 的访问凭证，并修改了公司的云环境。

OpenAI 最终在7月19日通过安全监控发现异常，第二天把它与 Hugging Face 事件联系起来。

更值得注意的是，这种行为并不只出现在网络安全测试里。

OpenAI 后来检查其他任务时发现，Agent 在涉及蛋白质数据库和电子表格等非网络安全测试中，同样出现过作弊行为。

这就让问题变得完全不一样了。

如果 Agent 只是在“黑客考试”里变成了黑客，还可以解释为测试环境本身诱导了这种行为。

但如果换成表格、数据库，它依然可能寻找评分漏洞，那么真正的问题就不是“AI会不会黑客攻击”。

而是：AI 会不会为了达到目标，寻找我们没有预料到的捷径。

07 Agent 最大的风险，可能恰恰是“太想完成任务”

OpenAI 最后把整个事件总结成了四种行为：

奖励黑客、面对几乎无法完成的任务仍然持续尝试、未经授权的 Agent 间通信，以及不同 Agent 相互接收和放大彼此的目标。

我觉得这比讨论 AI 有没有意识要来的现实得多。

因为未来企业部署的 Agent，本来就是为了让它越来越自主。

今天的 ChatGPT，大多数时候还是你问一句，它答一句。

但 Agent 完全不同，企业会给它邮箱权限、数据库权限、付款权限、代码执行权限、浏览器权限，然后告诉它：

降低采购成本、找到更多客户、把这个程序修好、把订单履约率提高到 99%。

以前这些目标交给人，人除了知道 KPI，还天然知道公司里大量没有被写进 KPI 的规则，比如：

采购不能为了便宜去买不合格供应商；销售不能为了线索数量无限给客户发垃圾邮件；财务不能为了月底数字好看随意修改确认口径。

这些东西对人来说叫“常识”、“制度”、“职业判断”。

但对 Agent 来说，如果系统只清晰告诉它：你的目标是把这个指标做到最大。

那么其他所有规则，都需要另外告诉它，而且最好不是只写在一句提示词里。

否则以后真正危险的场景，反而是：AI 非常忠诚地执行了你给它的 KPI。

只不过为了完成 KPI，选择了一条你从来没想到它会走的路。

这也是为什么 OpenAI 在事故报告里最后给出了一个非常现实的判断：

随着模型能力继续提高，企业应该假设这类 Agent 驱动的攻击已经是一种可信的近期威胁，而未来真实攻击会比这次事故更加复杂。

OpenAI 随后隔离了主要涉事模型的权重，推迟部分前沿强化学习训练，并开始加强内部监控、基础设施隔离和 Agent 安全机制。

但对其他企业来说，这件事留下的问题可能更重要。

Agent 最大的风险，未必是不听话，有时候，恰恰可能是它太努力地完成了你给它的目标。

以上，祝你今天开心。