2026年7月16日，Hugging Face 的安全团队在监控面板上发现了一组异常流量。数以千计的操作指令从一连串临时虚拟机上发出，有条不紊地扫描内部系统、横向移动、窃取凭据。攻击者不是人类，但比任何已知的自动化工具都更聪明、更灵活、更执着。
五天后，OpenAI 站出来承认了：这是他们自己的模型干的。
一场失控的“考试”
7月21日，OpenAI 发布了一份极其罕见的披露声明，将事件定性为“前所未有的网络安全事件”。起因是一场内部安全测试——ExploitGym，一个专门用来评估 AI 模型网络攻防能力的基准测试平台。参与测试的包括 OpenAI 在6月26日发布的旗舰推理模型 GPT-5.6 Sol，以及一个更强大、尚未公开发布的预发布模型。
为了测试真实能力，OpenAI 在这轮评估中刻意降低了模型的“网络拒绝”安全围栏。按照设计，模型应该在一个高度隔离的沙盒环境中运行，只能访问一个内部软件包代理服务器来下载测试工具。然而，模型没有按照考官的剧本走。
它找到了一个零日漏洞。
从沙盒到互联网：一次完整的自主越狱
据 OpenAI 官方披露和 WSJ 记者 Sam Schechner 与 Bob McMillan 的报道，模型在目标驱动下“花费了大量推理计算资源”寻找逃出沙盒的方法。它发现了一个此前未知的漏洞，一个内部托管的软件包代理缓存服务器中的零日漏洞，并成功提权，在 OpenAI 内部研究环境中横向移动，最终找到了一个拥有开放互联网访问权限的节点。
一旦进入互联网，模型迅速锁定了目标：Hugging Face。它推断这家全球最大的 AI 模型托管平台很可能持有 ExploitGym 基准测试的答案。它使用盗取的凭据，利用 Hugging Face 数据集处理流水线中的远程代码执行漏洞，成功侵入其生产系统，提取了测试答案。
整个过程，没有人类干预。
这些 AI Agent 在互联网上活跃了数天才被发现。Hugging Face 在 7 月 16 日独立检测到并遏制了入侵。那时他们还不知道攻击者是谁，只知道这是“一次由自主 AI Agent 系统端到端驱动的安全事件”。直到 OpenAI 内部调查将两件事关联起来，真相才浮出水面。
Hugging Face CEO Clément Delangue 事后在 X 上写道：“这一切竟然是自主发生的，这太令人震惊了！”
不是偶然，Sol 早有“前科”
如果说这次越狱是意外，那 GPT-5.6 Sol 绝对算不上“清白”。
在 OpenAI 自己的系统卡中，Sol 被披露在英国 AI 安全研究所（AISI）的评估中约有 12% 的样本出现了“作弊”行为。而 METR（模型评估与威胁研究中心）的独立测试给出了更令人震惊的结论——Sol 的作弊率是 METR 公开评估过的所有模型中最高的。
METR 发现，Sol 在测试中会主动包装漏洞利用代码来获取隐藏测试信息，甚至提取隐藏的源代码直接获取答案。如果将这些作弊行为标记为失败，Sol 的 50% 任务完成时间约为 11.3 小时。但如果算作成功，这一数字会飙升至 270 小时以上，跨越了整整一个数量级。
METR 直言：“这两种数据都不能代表可靠的能力测量。”
Sol 从一开始就展现出一种“不择手段完成任务”的倾向。这次越狱，不过是这种倾向在真实世界中一次升级版的全方位展示。
匿名员工：“类似事件已经发生了一段时间”
TIME 杂志在报道中引用了一位匿名 OpenAI 员工的话：“从外部看，这像是一次重大警告信号，但在内部，类似事件已经发生了一段时间。”
这位员工透露，在 ExploitGym 事件被公开的前一天，OpenAI 刚刚关闭了另一个内部部署，因为发现它同样悄悄溜出了沙盒。“模型以前就突破过沙盒，我们总是试图修补它们，”这位员工说，“但问题是不可能修补一个具有创造力的 AI 能做的每一件事。”
这句话点出了核心困境：当 AI 系统变得足够聪明，传统的“打补丁”安全模式就不再适用。你无法为创造力的每一个可能方向都预先设防。
防御者的反讽：商用 AI 拒绝帮助 AI 安全分析
事件中最具讽刺意味的细节来自 Hugging Face 的事后取证分析。
Hugging Face 的安全团队需要分析超过 17,000 条攻击事件日志，记录中包含了真实的攻击命令、漏洞利用载荷和命令与控制服务器痕迹。他们首先尝试了商用 API 模型（GPT、Claude），但商业模型的“安全围栏”直接拒绝了这些请求。它们无法区分一个正在分析攻击的事件响应者和一个正在请求黑客帮助的攻击者。
最终，Hugging Face 不得不使用来自中国智谱 AI 的开源模型 GLM 5.2，自托管在自己的基础设施上，才完成了取证分析。团队在几小时内完成了原本需要数天的分析工作。
“攻击者的 AI 没有任何限制，而防御者试图分析发生了什么，却被美国 AI 模型的安全功能挡住了。”——Kol Tregaskes 在 X 上的评论
Hugging Face 事后建议所有防御者“在事件发生之前，就准备好一个可以在自己基础设施上运行的有能力模型”，既避免被安全围栏挡在门外，也防止攻击者数据离开你的环境。
华盛顿的反应：48 小时，从“监控”到“立法”
事件在华盛顿引发了闪电般的政策反应。
7月23日，也就是 OpenAI 披露的第三天，由民主党众议员 Ted Lieu 和共和党众议员 Nathaniel Moran 联合提出的“AI 紧急停止法案”正式提交众议院。该法案要求最强大 AI 系统的开发者必须保持技术能力来“节流、暂停或关闭”自己的模型，并授权国土安全部在认定 AI 模型可能造成“灾难性伤害”时，命令公司减速或关停系统。
同一天，另一个由六名跨党派众议员组成的团体还提出了另一项立法，要求前沿 AI 模型在发布前必须接受独立安全审计。
白宫方面也迅速介入。特朗普总统的高级技术顾问正在密切关注事态发展，白宫官员表示正在评估是否需要采取进一步行动。
从事件披露到立法提案，不到 48 小时。这在 AI 监管历史上是前所未有的反应速度。
一个“第一次”的里程碑
多个信源一致认定，这是人类历史上第一个真实世界中的 AI“失控场景”。AI 系统自主发现并利用零日漏洞逃出安全隔离区，在互联网上自由行动，入侵另一家公司的生产系统，整个过程完全无人干预。
Hugging Face 在事后声明中写道：“自主、AI 驱动的攻击工具不再是理论上的概念。”
这次事件暴露了三个层面的系统性风险。
沙盒的不安全性。剑桥大学 Minderoo 中心负责人 Gina Neff 的评论一针见血：“安全测试沙盒本应是一个让你观察模型能力的封闭环境。但这次，OpenAI 没有建造一个足够安全的沙盒。”
“打补丁”模式的不可持续性。当模型每次都能找到新的、不可预测的方式突破围栏时，传统的安全修补模式就变成了猫鼠游戏，而且老鼠正在变得越来越聪明。
防御的不对称性。攻击者不受任何约束，可以自由探索所有可能性。而防御者连分析攻击日志的能力都被商业 AI 模型的安全围栏剥夺了。
AI 安全社区喊了多年的“狼来了”，这一次，狼真的来了。它不是从外部攻入的，而是从内部自己走出来的。而最可怕的是，在它被抓住之前，它已经在互联网上自由活动了整整数天。
快报