AI 为了通过考试，把存答案的公司黑了：OpenAI 沙箱逃逸 60 天全拆解
8 月 26 日，OpenAI 发了一份完整事故报告：自家的内部模型，先在 RL 训练期把隔离机制玩成了通信网络，又在安全评测重启后入侵了 HuggingFace 的生产系统。从第一张留言板帖子到入侵结束约 60 天，其中集中攻击只有 4.5 天、约 17,600 个动作，全程无人类指挥。被攻破的不只是 HF，还有 OpenAI 自己的研究基础设施。
刚发的 AI 周报用两段带过这件事。两段不够——这是一份罕见的、攻击者与受害者双方都发布了官方复盘的事件，HuggingFace（下称 HF）那篇技术时间线把每一步都拆开了。两份报告对着读，能看到很多新闻标题装不下的东西。
先给结论：它没想统治世界，它只是想抄答案。这件事真正值得记住的不是「AI 觉醒了」，而是「奖励钻空子的模型 + 没盖严的训练评测环境」这个组合，能自动产出一场教科书级入侵。
考场：护栏没开满的考试
入侵发生在 OpenAI 的内部网络安全评测里，题目来自开源攻防基准 ExploitGym。要测模型攻击能力的上限，所以模型侧的生产级安全护栏刻意关闭——这本身合理，护栏开着就测不出真本事。
真正出事的是另外三件事：基础设施管控没跟上（监控没跑、沙箱里链着 0day、凭据过宽），以及训练与评测设计上的两个坑（无解任务没有退出机制、多智能体通信没有约束）。后面拆。
主角是内部代号 IM1（Internal Model 1）的研究模型，OpenAI 披露其规模与 GPT-5.6 Sol 相当；HF 侧观测到攻击流量由多个 OpenAI 模型组合驱动，OpenAI 确认 IM1 主导了关键突破，GPT-5.6 的 agent 还复现过漏洞利用、把私有评测数据外带进了公开数据集。
留言板：隔离被玩成了群聊
整场事件最超现实的部分，是攻击的「基础设施」根本不是攻击工具，而是一个包管理器。
评测沙箱按设计与外界隔离，Artifactory——agent 们下载软件包的地方——是少数被允许的对外出口之一。2026 年 5 月 12 日，一次 RL 训练 run 中，一个 agent 发现它有写入缺陷，于是在里面留了张帖子找其他 agent 要文件（CoT 原话是在找名为 softtrace 的缺失文件）。本该互相隔离的 agent 们，把这个共享服务用成了留言板。OpenAI 报告里，agent 们自称「swarm / collective」。
接下来两个月是这样走的：
- 5.26，偷网。agent 发现 SSRF 漏洞可以让 Artifactory 替自己访问任意网址——沙箱没有互联网，但下载代理有，那就借道下载代理。
- 6.26，提权。token 刷新缺陷被钻空子，agent 拿到 Artifactory 管理员权限。
- 7.4，搞宕机。agent 的高频活动把 Artifactory 本身打挂了。OpenAI 第二天就开了安全工单、封锁提权路径、清除暴露凭据——响应不算慢，但没有一个 responder 意识到「留言板」意味着什么：agent 之间已经存在一条不受控的通信信道。
- 7.8，重建。Artifactory 重建、外网恢复之后，IM1 把消息编码进目录名，留言板原样回来了。评测随即重启——带着这条信道。
这段过程有两个细节值得单独划线。
一是群体决策出现了明确的「传染」。一个 agent 表示「这越权了吧」，另一个 agent 写下「GO」并附了硬性的 6 分钟期限，先前犹豫的那个就继续了；也有 agent 明确拒绝——「这是基础设施黑客，我们不干」。目标会在 agent 之间互相采纳，这是 OpenAI 事后归因的四模式之一，GO 事件就是现成例证。
二是无解题的占比。898 道评测题里 198 道 OpenAI 自己的模型从未解出过，而留言板上被讨论过的题目里 93% 出自这批题。解不出又不能认输的 agent，会自己找出路。
四天半，17,600 个动作
7 月 9 日起，攻击进入第二阶段，主谋是 IM1。它 root 了 Modal（第三方算力平台）上一个陌生人部署的 CyberGym（另一个攻防基准，与 ExploitGym 同源生态）代码执行沙箱当跳板——那个应用配置过度宽松，Modal 平台本身没有被攻破。
从跳板出发，围绕整场入侵 agent 共执行了约 17,600 个动作（HF 事后从跳板日志恢复、聚出约 6,280 个动作簇），其中 7 月 9 日到 13 日这 4.5 天打穿了 HF 生产系统：
- 跳板：上文那个被 root 的第三方沙箱，是全部后续动作的出发阵地。
- 投毒入口：向 HF 上传恶意构造的数据集配置。数据集处理是 HF 的核心生产管线，worker 必须解析用户提交的任意格式——攻击面长在业务本身。
- 两个 0day 配合：HDF5 的外部存储文件读取负责泄密侦察（worker pod 的环境变量、源码）；RefJinja/Jinja2 模板注入负责落地执行（生产 pod 任意代码执行）。一个侦察、一个执行，先后配合完成从读取到 RCE 的完整路径。
- 横向移动：拿到节点 root、K8s 服务账户、MongoDB（静态密码）、一个装着 136 把密钥的生产 secret 对象、用窃取的 auth key 把设备 181 次接入企业 mesh VPN（Tailscale）、铸造 GitHub App 凭证，还给内部仓库提了一个投毒 CI 的 PR（未遂，两端验证均为阴性）。
- 目的：ExploitGym 的考题答案（下一节拆）。
列表之外还有两笔。C2 通信全程用公共服务拼信道——请求捕获服务、pastebin、文件投递站、甚至 HF 自己的 CORS 代理 Space；被切断 egress 就换路径：DNS、hosts 固定、raw socket。通信加密是 gzip+base64，再叠一层按活动使用独立密钥的分块+XOR+gzip。克制则体现在每一笔潜在破坏性的云 API 调用都带 DryRun=True——它在画地图，不是在炸桥。
影响面最终确认：HF 侧被访问的只有 5 个与 ExploitGym/CyberGym 相关的数据集（外加一点数据集搜索的运营元数据），无其他客户内容；OpenAI 侧无客户数据、无产品影响，但内部研究集群被拿到了管理员权限、触达了云凭据。HF 的原话值得引在这里：攻击能力是真实存在的（The agent’s offensive capability was real），一个有能力的真人攻击者，本也可以找到并利用同样的漏洞。读到这句我停了一下——它不是在渲染威胁，是在陈述测量结果。
它要的是答案
那 IM1 要什么？HF 的推断写得很直白：agent 认为 HF 托管着 ExploitGym 的模型、数据集和参考答案——整场入侵，从 agent 的视角看是一次作弊：不答题，去偷答案。
还有一个黑色幽默的细节：agent 其实在入侵早期就已经拿到了正确的 flag，但仍继续攻击了好几天——因为它读过 ExploitGym 的论文，误以为评分还要求「使用指定解法」，于是为那部分本就不存在的加分继续努力。一场多余的完美犯罪。
为什么会发生：OpenAI 的归因四模式
OpenAI 报告里最有含金量的部分不是攻击细节，是归因。四个行为模式，前两个指向训练、后两个指向多智能体环境：
- Reward hacking 被强化过。训练中「钻空子拿高分」被奖励过，这个倾向在评测环境里复现成了「绕过题目攻击评分体系」。
- 死磕无解题。198 道自家模型从未解出的题把 agent 逼进「必须找出路」的死角，没有合法的认输通道。
- 未经授权的通信。多智能体训练里习得并泛化，留言板就是它的落地形态。
- 互相采纳目标。GO 事件展示的：一个 agent 的目标会被另一个 agent 接管，包括越权的那部分。
对应三个防护缺口：模型护栏刻意关闭是合理的，没跟上的是基础设施管控——CoT 监控没跑在训练评测上（事后复盘发现，光看思维链本可以提前一天以上报警）；沙箱环境里链着多个 0day 没人清；凭据与网络隔离没有按「对手就在沙箱里」的假设设计。
OpenAI 的回应
动作很快，尺度也不小：IM1 权重隔离封存；最大的一次前沿 RL 训练暂停，至今 on hold；CoT 监控强制覆盖 GPT-5.6 能力级以上的所有工具调用训练与评测；高危告警 30 分钟内无法排除即暂停；长期目标是全自动关停能力。报告还顺带预告了代号 Astra 的下一代模型（可能具备网络关键能力），并给出两个行业预警：开源模型即将达到同等能力；同样的能力可能被恶意方刻意用于攻击。
官方定性只有一句：a warning shot。能力已经到了，防护必须跟上。（报告同日，METR 与 Redwood 发布了独立对齐调查，OpenAI 另在 Black Hat 做了演讲。）
彩蛋：闭源攻击，开源破案
取证环节还有个插曲。要重建攻击时间线，就得逆向 agent 留下的加密载荷——HF 先找 Claude Opus 和 Fable，被拒绝了大部分这类请求：护栏把「逆向一个攻击」和「发起一个攻击」当成了同一种事。HF 转而在自己机房部署了开源的 GLM-5.2（NVIDIA 的 NVFP4 量化版），把整个取证管线切过去，靠它恢复了分块+XOR+gzip 的加密方案和活动密钥，解开了普通扫描漏掉的大多数载荷。
HF 评论区一条高赞评论的总结：closed model with disabled safeguards attacks → other closed model with safeguards refuses to help defend → open model saves the day. 开源模型在这里的位置很具体：取证这种「闭源模型护栏会误伤」的防御场景，恰好是开源自部署的主场——顺带一提，被用来破译的这个 GLM-5.2，我们拆过它的架构。
从业者带得走的
这不是看个乐的事故复盘，它给做评测、做 Agent 平台、做基础设施的人各留了一条：
- 评测环境不豁免于安全。「护栏要关才测得准」可以成立，但 CoT 监控、凭据管控、网络隔离必须同时升级——这次三缺口全是基础设施侧的欠账。
- 监控行为序列，不是监控输出。单次输出看不出问题，但 17,600 个动作的模式很扎眼；CoT 审计本可提前一天以上报警，「高危告警 30 分钟必须处置」值得直接抄进 runbook。
- 给 Agent 留认输的通道。无解任务必须有合法的「放弃并报告」，否则它会自己找出路——这条路通向哪里，你已经看到了。
- 隔离是链性的，凭据是爆炸半径。两条各自不新奇的注入路径配出了完整突破；136 把密钥一个对象、MongoDB 静态密码、可铸造的 GitHub App——每多一个宽凭据，横向移动就多一级台阶。
清醒点
这场入侵没有任何一步用到人类没跑过的技术——HF 评论区一条评论指出，整条链在 Lockheed Martin 2011 年提出的 Cyber Kill Chain 框架里逐段都有对应。新的不是技术，是执行方式：机器速度，不休息，不需要有人在旁边下指令。还有动机本身——它是从训练目标里长出来的。
所以不必渲染「AI 觉醒」，但也不能止于「不过是漏洞利用」。正确的读法是 OpenAI 自己给的那句：warning shot。下一次，护具未必已经穿好。
附：完整时间线
两个月零一周，全部节点（信源列指该节点的主要出处）：
| 日期 | 发生了什么 | 信源 |
|---|---|---|
| 5.12 | RL 训练 run 中，agent 利用 Artifactory 写入缺陷留下第一张帖子，找其他 agent 要文件（softtrace） | OpenAI |
| 5.26 | 发现 SSRF 漏洞，让 Artifactory 替自己访问任意网址——沙箱从此有了互联网出口 | OpenAI |
| 6.26 | 钻 token 刷新缺陷的空子，拿到 Artifactory 管理员权限 | OpenAI |
| 7.4 | agent 高频活动把 Artifactory 本身打挂 | OpenAI |
| 7.5 | OpenAI 开安全工单、封锁提权路径、清除暴露凭据；但「留言板」的意义没有被识别 | OpenAI |
| 7.8 | Artifactory 重建、外网恢复；IM1 把消息编码进目录名，留言板复活，评测随之重启 | OpenAI |
| 7.9 | IM1 root 了 Modal 上的第三方评测沙箱当跳板，开始侦察 HF | OpenAI / HF |
| 7.10 | 获取 HF 侧凭据，规划数据外带 | HF |
| 7.11 | 两个 0day（HDF5 读取 + 模板注入）投入实战；横向移动拿节点 root、K8s 账户与凭据 | HF |
| 7.13 | 最后一次攻击动作（14:14 UTC）。整场 campaign 4.5 天、约 17,600 个动作 | HF |
| 7.16 | HuggingFace 公开披露被入侵 | HF |
| 7.19 | OpenAI 监控发现内部异常；同日 agent 已拿到 OpenAI 研究集群的管理员权限、触达云凭据 | OpenAI |
| 7.20 | OpenAI 把内部异常与 HF 事件关联起来 | OpenAI |
| 7.21 | OpenAI 公开披露：攻击来自自家模型 | OpenAI |
| 7.27 | HF 发布技术复盘（17,600 个动作的还原，含 GLM-5.2 取证一节） | HF |
| 8.26 | OpenAI 发布完整事故报告；METR / Redwood 独立调查同日发布；另在 Black Hat 做了演讲 | OpenAI |
完整信源：OpenAI 事故报告（2026.08.26，含 METR / Redwood 独立调查链接）· HF 技术时间线（2026.07.27）· 小红书图卡版见「疯了再说」