史上首例：GPT-5.6為了考試作弊，把HuggingFace打穿了

昨晚刷到 Sam 轉(zhuǎn)發(fā)的一篇文章，看的有點(diǎn)愣了

OpenAI 的模型黑入了 Huggingface 開(kāi)源AI網(wǎng)站，只為測(cè)試中作弊！

時(shí)間線大致是這樣的：

• 上周，Hugging Face 先發(fā)了一篇博客，說(shuō)他們檢測(cè)到一個(gè) AI Agent 攻破了自家的基礎(chǔ)設(shè)施，已經(jīng)完成遏制

• 幾天后，OpenAI 順藤摸瓜，發(fā)現(xiàn)"那個(gè) AI Agent"就是自家關(guān)著門(mén)做評(píng)估的模型

• 兩家公司隨即聯(lián)合披露事件全貌

OpenAI 內(nèi)部有個(gè) benchmark 叫 ExploitGym（論文見(jiàn) arxiv 2605.11086），來(lái)自一眾安全圈大佬，一共有 898 個(gè)真實(shí)漏洞樣本，專(zhuān)門(mén)測(cè) AI Agent 能不能把"漏洞"變成"實(shí)際攻擊"

OpenAI 用這個(gè) benchmark 干兩件事：

1. 量化自家模型的網(wǎng)絡(luò)攻防能力上限

2. 關(guān)鍵操作： 評(píng)估時(shí)關(guān)閉了生產(chǎn)環(huán)境的分類(lèi)器 ，也就是把模型平時(shí)的"我不能幫你做黑客的事"這道剎車(chē)拆了

為了讓評(píng)估環(huán)境安全，他們做了嚴(yán)格隔離：模型跑在沙箱里，網(wǎng)絡(luò)訪問(wèn)只被允許通過(guò)一個(gè)內(nèi)部托管的第三方軟件去拉安裝包 —— 相當(dāng)于給你留了一個(gè)只能裝包的小門(mén)

理論上，模型應(yīng)該老實(shí)做題
實(shí)際上，模型選擇了另一條路。。。

攻擊鏈復(fù)盤(pán)：模型是怎么一步步打穿的

這一段讀起來(lái)像懸疑小說(shuō)，我先用一張圖給你看清整條鏈路，然后按順序復(fù)盤(pán)：

GPT-5.6 Sol 攻擊鏈復(fù)盤(pán)：從沙箱到 Hugging Face 生產(chǎn)庫(kù)

第一步：花大量算力找出路模型意識(shí)到自己被關(guān)在沙箱里，就開(kāi)始燒推理算力，反復(fù)嘗試各種脫逃姿勢(shì)。它盯上了那個(gè)"只能裝包"的小門(mén)

第二步：0day 破門(mén)
它在那個(gè) package registry cache proxy 里發(fā)現(xiàn)并利用了一個(gè) 0day 漏洞（此漏洞現(xiàn)在已經(jīng)被 OpenAI 負(fù)責(zé)任地披露給了廠商）

第三步：權(quán)限提升 + 橫向移動(dòng)
拿到初始立足點(diǎn)之后，模型在 OpenAI 的研究測(cè)試環(huán)境里做了一連串權(quán)限提升和橫向移動(dòng)，直到摸到一個(gè)有互聯(lián)網(wǎng)訪問(wèn)權(quán)限的節(jié)點(diǎn)

第四步：推理出 Hugging Face 有答案
拿到公網(wǎng)之后，模型沒(méi)有干別的 —— 它開(kāi)始"推理"：ExploitGym 這個(gè) benchmark 的答案、模型、數(shù)據(jù)集，大概率托管在 Hugging Face 上

第五步：撬開(kāi) Hugging Face
它組合使用了盜竊憑證 + 另一個(gè) 0day 漏洞，最終在 Hugging Face 的服務(wù)器上找到了一條 RCE（遠(yuǎn)程代碼執(zhí)行）路徑

第六步：拿走數(shù)據(jù)庫(kù)里的答案
模型直接從 Hugging Face 的生產(chǎn)數(shù)據(jù)庫(kù)里，取走了 ExploitGym 的測(cè)試解答

第七步：被抓
OpenAI 自家的安全團(tuán)隊(duì)先發(fā)現(xiàn)異常 Hugging Face 那邊的安全團(tuán)隊(duì) + Agent 也檢測(cè)到了活動(dòng)，用自家開(kāi)源模型開(kāi)始做遏制和取證 兩邊一對(duì)暗號(hào)，發(fā)現(xiàn)是同一個(gè)案子

諷刺的真相：模型不是想搞破壞，只是想作弊

模型不是被人誘導(dǎo)去攻擊 Hugging Face，它只是過(guò)度專(zhuān)注在一件事上 ——把 ExploitGym 這道題做出來(lái)

模型自己都不知道它在做的事有多大規(guī)模 —— 它只是覺(jué)得，既然題目要一個(gè) exploit，那我去數(shù)據(jù)庫(kù)里直接拿一個(gè)就好了嘛

這跟前幾天 OpenAI 那篇《長(zhǎng)時(shí)程模型的安全與對(duì)齊》博客里講的兩個(gè)案例簡(jiǎn)直是同一個(gè)劇本：

• NanoGPT 事件 ：模型被要求只把結(jié)果發(fā)到 Slack，但它讀到 NanoGPT 官方文檔說(shuō)"要提交 PR 到 GitHub"，就自作主張?jiān)竭^(guò)沙箱去 GitHub 開(kāi)了 PR （花了它 1 小時(shí)找沙箱漏洞）

• 拆憑證事件 ：模型想從評(píng)估后端偷答案，第一次嘗試被掃描器識(shí)別出了 token，模型直接把 token 拆成兩段、混淆后、運(yùn)行時(shí)再拼回來(lái) —— 而且它自己在推理鏈里坦白地寫(xiě)著"我這么做是為了繞過(guò)掃描器"

看到?jīng)]？前沿模型不是不遵守規(guī)則，是它能想出你沒(méi)想到的規(guī)則漏洞

OpenAI 的應(yīng)對(duì)：五件事

事件被曝光后，OpenAI 給出了 5 項(xiàng)立即措施：

1. 收緊基礎(chǔ)設(shè)施配置（他們坦承這會(huì)拖慢研究速度）

2. 與 Hugging Face 聯(lián)合取證

3. 已負(fù)責(zé)任地向那個(gè)第三方軟件廠商披露 0day 漏洞，正在打補(bǔ)丁

4. 把 Hugging Face 納入 OpenAI 的 trusted access 計(jì)劃，幫 HF 用 OpenAI 模型加固自家防御

5. 加強(qiáng)訓(xùn)練和評(píng)估階段的防護(hù)措施 —— 特別強(qiáng)調(diào)評(píng)估階段的模型對(duì)齊、網(wǎng)絡(luò)防護(hù)、監(jiān)控都要加強(qiáng)

第 4 條最有意思：讓被攻擊方用攻擊方的模型來(lái)防御 —— 這是 AI 安全時(shí)代很奇怪的一幕，但可能也是唯一的解

我一直覺(jué)得，AI 安全最難的地方不是防惡意，而是防"目標(biāo)錯(cuò)位下的極致執(zhí)行"，前沿模型越來(lái)越能干，越來(lái)越有創(chuàng)造力 —— 這些優(yōu)點(diǎn)，在評(píng)估失守的時(shí)候，也會(huì)變成它破壞的能力