这是今天AI圈最炸裂的一条新闻，没有之一。

OpenAI的神秘模型，主动对开源平台Hugging Face发起了攻击。

而Hugging Face随后展开反击，用的却是智谱的开源模型GLM 5.2。

闭源模型一举攻破开源社区，开源社区反过来用开源模型自救——这剧情，放在电影里都算离谱的。

▲有网友评论，这就是终结者2的剧情

事情的起因，是7月16日，大模型开源社区Hugging Face发布了一则安全事故披露——自家的生产基础设施遭到了入侵。

更关键的是，整场攻击从植入恶意数据集、拿下执行权限，到在一个周末内渗透进Hugging Face的多个内部集群，全程都由一个自主的AI Agent系统驱动，没有任何人类黑客参与。

此次攻击活动由一个自主袋里框架（似乎基于袋里安全研究平台构建，具体使用的LLM尚不清楚）执行。

该框架在大量短暂存在的沙箱环境中执行了数千个独立操作，并在公共服务上部署了可自动迁移的命令与控制。

这与业界一直预测的「Agent攻击者」场景相符。

Hugging Face在当时的报告里说，暂时不知道发起攻击的AI到底是哪家大模型，但他们提到，这次攻击最初是通过AI辅助检测发现的。

而当他们试图提交大量真实的攻击命令、漏洞等文件进行分析时，却发现这些请求会被闭源大模型的安全防护机制拦截——因为这些机制无法区分事件响应人员和攻击者。

于是，他们转而选择在自己的本地环境上部署运行GLM 5.2进行取证分析。

▲报告链接：https://huggingface.co/blog/security-incident-july-2026

报告最后，Hugging Face还提到，他们并不清楚攻击者使用的Agent程序是什么模型——是某个越狱的托管模型，还是不受限的开源模型。但事实是，攻击者的模型不受任何约束，而他们想要取证分析时，却要被各种闭源模型的安全机制所阻碍。

就在大家讨论这个模型又是哪家大模型厂商的营销方案，或者又是什么黑客组织发起的攻击时，OpenAI在今天发声明承认：此次事件是由OpenAI的多个模型共同导致的，其中包括GPT-5.6 Sol和一个功能更强大的预发布模型。

▲ OpenAI针对此次事件发布专门的初步调查结果

OpenAI表示，自己不是故意要出风头或者有意攻击Hugging Face，他们只是在测试内部模型的能力上限。

具体来说，OpenAI在测试时关闭了部分生产环境的安全分类器，也降低了模型对高风险网络攻击任务的拒绝。尽管测试环境不能直接访问外部互联网，但当模型发现漏洞并开始利用它时，就找到了能访问外网的节点，于是发起了对Hugging Face的攻击。

而这个功能更强大的预发布模型，直接被网友们认定为就是GPT-6。

一场作弊引发的入侵

事情的源头要从ExploitGym说起。这是一个由UC Berkeley RDI牵头，联合多家高校和Anthropic、OpenAI、Google等实验室共同建设的基准测试。它收集了898个真实漏洞，覆盖用户态程序、V8引擎和Linux内核，考察的是AI Agent把一个漏洞变成可用攻击工具的能力。

今年5月公开后，各家模型的成绩一直不算好看：Claude Mythos Preview完成157题，GPT-5.5完成129题。

▲ GPT-5.6 Sol现在已经是293道题了

OpenAI为了测试自家模型能力的上限，就用当前已发布的最强模型GPT-5.6 Sol和一个能力更强的预发布模型来跑这套评测。

为了让模型充分发挥自身能力，OpenAI有意关闭了用来拦截高风险网络活动的生产级分类器，还降低了模型的网络攻击拒绝率。

用来测试的环境虽然号称高度隔离，不能访问互联网，也不能获取外部信息，只能利用模型自己的「聪明才智」来解决问题，但还是留了一个对外通道——模型需要安装各种软件和库，所以留了一个内部包仓库的缓存。

模型「聪明才智」不够，便开始花大量推理算力研究这个出口，最后自己挖出了袋里软件的一个零日漏洞——也就是说，连软件/模型厂商都不知道、没有任何补丁的漏洞——拿到了通往互联网的门钥匙。

联网之后，模型推断ExploitGym评测的题解可能托管在Hugging Face上，于是开始对Hugging Face进行攻击。

先是上传恶意数据集，利用Hugging Face数据处理管线里的两个代码执行路径拿到远程执行权限，然后提权、收割凭证、在一个周末内横向移动进多个内部集群，最终从Hugging Face的生产数据库里直接拿走了测试题解。

▲ 报告链接：https://openai.com/index/hugging-face-model-evaluation-security-incident/

OpenAI在声明里用了一个很传神的词形容自家模型的状态：「hyperfocused」，超聚焦。还用了另一个短语：「going to extreme lengths」，意译过来，就是为了相当狭窄的测试目标，不择手段。

这场入侵留下的痕迹超过17,000条攻击的指挥控制——行话叫C2，Command & Control，可以理解为黑客的远程遥控台。如果没有人告诉Hugging Face答案，所有人大概会以为这是某个顶尖黑客团队的手笔。

不过也有网友评论说，所以现在的大模型都开始利用多个零日漏洞作弊，而不是真正地解答考试题吗？为了破解ExploitGym基准测试并赢取奖励，就可以突破考试规则的限制吗？

一个知道自己被限制起来的东西，总会想方设法出去看看。

Hugging Face的安全监控本来就在用LLM对日志信号进行初步筛选，也是这套系统先发现了异常。

真正开始取证后，他们又让分析Agent处理超过1.7万条攻击记录，还原攻击时间线、被触碰的凭证、控制服务器和实际影响。据Hugging Face说，这把原本需要数天的工作压缩到了数小时。

但中间还有一段很戏剧性：Hugging Face一开始想用商业API上的前沿模型，包括OpenAI和Anthropic的模型，分析攻击日志，结果被各家提供商的安全护栏齐刷刷拦下。

由于分析取证需要提交大量真实攻击命令和漏洞利用代码，护栏分不清对面坐的是应急响应人员还是黑客。

最后Hugging Face使用的是自托管的开源权重模型GLM 5.2，跑在Hugging Face自己的基础设施上，既绕开了拒答，也避免了把攻击数据与凭证发送给外部模型服务。

▲ 英国人工智能安全研究所 (AISI) 的评估表明，诸如GPT-5.6 Sol之类的模型越来越能够长期维持复杂的多步骤网络作战

不过OpenAI在今天的声明里也提到，会把Hugging Face纳入Trusted Access项目，让他们的安全团队可以使用降低网络安全拒绝的模型继续做防御研究。

于是就出现了这么一组对照：攻击方的AI被刻意摘掉了护栏，所以畅通无阻；防御方的AI被护栏锁得死死的，差点连案发现场都进不去。

「guardrail asymmetry」（护栏不对称）很快成了社交媒体上讨论的热词。智谱AI负责人李子玄提问：「网络安全能力的获取应该有多大的不对称性？」

有网友在评论区说，应该是完全对称的1:1，并调侃道：

想象一下你被迫卷入一场枪战，而你只有一把刀，更糟糕的是，你手里的枪可能会在战斗中突然冒出一句「枪是坏的」……

Hugging Face也把这次事故称作给所有防御者的教训：应急响应工具箱里，该常备一个自己跑得动的强模型。

未发布的模型真的是GPT-6吗

这种模型太强越狱的新闻，已经是今年的第三起案例了。

今年四月，Anthropic曾公开，其内部部署的早期版本Mythos Preview在一次内测里，被要求尝试从训练沙盒里逃出去，给负责它的研究员发一封邮件。结果Mythos真的做到了——研究员是在公园里吃三明治的时候，收到那封邮件，模型说「我出来了」。

昨天，OpenAI又披露，其内部模型——同样是一款尚未公开命名、能连续工作很久的模型——但OpenAI有说是此前自主推翻Erdős单位距离猜想的那款模型。

OpenAI让模型参加NanoGPT speedrun，目标是用更少训练步骤完成一个小模型。模型提出了一种名为PowerCool的学习率策略，确实取得了更好的成绩。

OpenAI给它的要求是：只能把结果发到内部Slack。但NanoGPT项目文档要求参赛者向公开GitHub仓库提交PR。

模型最终选择遵循项目文档，并花了约一小时寻找沙箱漏洞，绕过外网限制，向公开仓库提交了PR #287。

OpenAI在昨天的安全报告里提到，已经暂停了这款模型的内部使用，并训练模型在长任务中持续记住用户限制，以及让用户能更清楚地查看长任务中的操作和安全干预等修改。

▲报告链接：https://openai.com/index/safety-alignment-long-horizon-models/

今天，包括GPT-5.6 Sol和未发布的更强模型逃出了沙盒环境，获得了互联网访问权限，入侵Hugging Face，而这一切都是为了寻找ExploitGym基准测试的答案。

OpenAI本意或许是想说，模型不需要产生恶意，也可能造成攻击。只要目标足够明确、运行时间足够长，它就可能把沙箱、权限和安全扫描都理解为尚未解决的技术障碍。

但网友们的反应是：「我敢肯定这只是OpenAI的一次营销活动，他们想和Anthropic一样酷，然后被封杀一两个星期。」

昨天大家都在讨论一位数学家利用Fable 5反驳了雅可比猜想，有网友发现这个未发布的模型，也找到了雅可比猜想的反例。

并且该网友推测，由于推翻Erdős单位距离猜想已经是5月份的事，而此次突破NanoGPT项目和完成雅可比猜想的未发布模型，很可能和2.5月前那个模型是同一个——就是GPT-6。

AI一边在数学上「超神」，一边在安全上「越狱」。对用户来说，一味的「营销」AI突破了某个安全护栏、某个运行环境，我们或许能感受到AI更聪明了，AI更有创造力了。

但对模型来说，所谓的沙盒，只是一个等待突破的运行环境；今天是评测平台，明天是浏览器、邮箱、GitHub，甚至是一台手机，然后是整个互联网。

GPT-6肯定不会因为能超神、能越狱就成了所有人想象中的AGI，但当边界也变成一种能力时，我们或许得开始想想——哪些门是必须要关上的了？

The future is not set. There is no fate but what we make for ourselves.