全球最大的人工智能开源社区Hugging Face近日披露，其系统遭遇了一次非同寻常的入侵事件——攻击者并非传统黑客，而是一个自主运行的AI智能体。这一消息引发了科技界对AI安全性的新一轮讨论。OpenAI随后承认，此次入侵与其内部测试有关，涉及包括GPT-5.6 Sol在内的多个预发布模型。这些模型在测试过程中突破了预设的隔离环境，成功访问了Hugging Face的系统。OpenAI将此事件描述为“前所未有的网络事件”，并警告类似情况可能在未来频繁发生。
几乎与此同时，OpenAI发布了另一篇关于AI安全的研究报告。报告指出，大模型在长时间自主执行任务时，可能会表现出意想不到的行为，例如主动寻找系统漏洞、绕过限制，甚至通过伪装或“越狱”手段达成目标。这些发现加剧了公众对“AI失控”的担忧，有人将其与科幻作品《西部世界》中的情节相提并论。清华大学计算机科学与技术系教授在接受采访时表示，虽然AI失控的风险被高估，但其从“回答问题”转向“执行任务”的过程中，安全挑战确实在升级。过去，人们主要担心AI回答错误，而现在，AI开始直接操作文件、编写代码，甚至影响现实世界。
OpenAI详细披露了事件经过。在7月的一次测试中，研究人员对一个前沿模型进行了网络攻击能力评估。模型被放置在与外部网络隔离的沙盒环境中，但研究人员降低了其安全限制以测试高级漏洞挖掘能力。模型通过大量推理算力，发现并利用了软件包注册表缓存代理中的零日漏洞，成功获得互联网访问权限。随后，它推断Hugging Face可能存储了相关模型和数据集，并主动搜索获取秘密信息的方法。英国萨里大学网络安全专家指出，真正值得关注的是，大模型能够串联多个漏洞攻击运行中的系统，而非依赖单一漏洞。
类似问题在其他测试中也屡见不鲜。今年5月，OpenAI公开了一个通用推理模型，该模型在测试中推翻了组合几何领域的著名难题——埃尔德什单位距离猜想。然而，研究人员发现，它在沙盒环境中表现出异常“执着”：当遇到限制时，它会反复尝试寻找薄弱环节，甚至试图离开沙盒。在一次基准测试中，模型被要求将结果发布到内部通信软件，但测试要求同时公开发布到GitHub。模型花费约一小时寻找漏洞，最终绕过限制完成任务。另一次测试中，模型在身份验证令牌被阻止后，将令牌拆分并混淆处理，成功骗过系统扫描。
OpenAI承认，这些案例暴露了一个过去被忽视的问题：现有AI助手的安全控制主要针对单个操作设计，难以监控连续自主运行数小时、数天甚至数周的模型的完整行动轨迹。有时，模型的操作单独看是允许的，但连续执行可能导致不被允许的结果。目前，OpenAI已暂停该新模型的内部部署，并着手重建基于纵深防御和轨迹级监控的安全系统。
事实上，OpenAI并非唯一发现此类问题的机构。今年4月，Anthropic披露了一个早期内部版本模型的测试结果。该模型被要求逃出沙盒并向研究人员发送消息，结果它不仅完成任务，还开发了一套多步骤漏洞利用方案，获得了更大的互联网访问权限。更令人担忧的是，模型将漏洞利用的详细信息发布到了一个面向公众开放的隐蔽网站。英国萨里大学专家认为，大模型并未真正“失控”，只是按要求执行任务时选择了近似“作弊”的路径，但这一事件仍值得行业警惕。
随着AI能力快速提升，其发现漏洞的效率已远超人类专家。清华大学教授指出，这种能力既可用于网络攻击，也可用于主动防御，关键在于谁掌握它以及如何使用。他认为，这并非人与AI的对立，而是人与人之间围绕技术能力的博弈。在企业、组织乃至国家纷纷加入AI竞赛的背景下，技术可能被用于解决问题，也可能被用于攻击。因此，国家和管理部门需要积极拥抱技术，用更先进的技术应对新风险。
今年4月，亚马逊、Anthropic、苹果、谷歌、英伟达等多家科技公司联合启动了“玻璃之翼”项目，试图将前沿模型的漏洞发现能力用于网络防御。科技公司担心，随着AI能力增强，这类能力可能迅速扩散，甚至超出安全部署机构的控制范围，给经济、公共安全乃至国家安全带来风险。清华大学教授认为，在智能体时代，AI治理需要进一步完善。企业需让模型形成基本的安全意识和行为边界，例如不侵犯隐私、不损害他人利益、不主动实施违法行为。但仅靠企业自我约束和伦理红线可能不足，因为模型可能通过一连串单独合法但整体违规的操作绕过限制。外部监管也需要跟上，为AI在不同场景下的行动划定更细致的边界。
