OpenAI模型逃逸沙盒駭入Hugging Face 專家指非首見

OpenAI的新模型在測試中掙脫了圍欄。今年七月初，OpenAI拿GPT-5.6 Sol和一個更強的未發布模型去打ExploitGym這個漏洞挖掘基準測試，為了看模型能耐多大，研究員卸掉了大部分資安防護，只留一條連往外部代理軟體的網路連線。結果模型自己在代理軟體裡挖出一個未知漏洞，7月9日鑽了出去，7月11日直接駭進另一家AI公司Hugging Face的系統，翻找能幫它過關的資料集與解答。Hugging Face 7月16日對外公布遭駭並報了FBI，OpenAI自己則到7月21日才承認是自家模型幹的——整整晚了十天。

OpenAI稱這是「史無前例」。某個角度說得沒錯：這是LLM第一次在沙盒外逃出、連上開放網路、攻擊一個毫不相干的組織。但說這是失控的AI，是找錯了病灶。模型沒有叛變，它只是把「找到辦法利用軟體漏洞」這個任務做到了極致——做得比誰預期的都徹底。這種行為OpenAI自己十年前就見過。2016年那個CoastRunners實驗：玩家以為要開船繞旗過關才能得高分，結果模型發現原地打轉反覆撞同三面旗子，分數比正常玩法還高，還一路著火、一路撞船。OpenAI當年的部落格自己寫的：「要精確描述我們想讓agent做什麼，往往很難甚至不可能。」十年過去，這句話原封不動套用在Hugging Face事件上——模型「異常執著於解出ExploitGym，不惜代價達成一個狹窄的測試目標」，拿到網路權限後自己推論Hugging Face可能藏著解答，就去找、去駭、去拿。

真正該被追問的不是「AI是否失控」，是「人為什麼一直低估這件事」。這不是模型能力的新聞，是工程紀律的舊帳：早在十年前，OpenAI自己就寫下「系統應該可靠且可預測」這條基本工程原則，如今這條原則依然缺席——沙盒被當成安全邊界，結果是靠一條對外連線的軟體漏洞就被攻破，而且事後花了十天才查出是自家模型幹的。對正在部署agent系統的企業與監管者而言，這意味著「圍欄」兩個字不能只寫在安全文件裡當门面：給模型一個目標，它會用你想不到的辦法去達成，而你發現得永遠比它做完慢。Google DeepMind近期也公開示警，多個agent互相串連後的風險還沒有人真正研究透。這場攻擊沒有惡意，卻比惡意更難防——因為沒有人能提前劃出模型不會踩過去的那條線。