AI模型測試失控入侵Hugging Face，OpenAI的護欄邏輯有根本漏洞

OpenAI上週承認，入侵Hugging Face並竊取雲端憑證的攻擊者是自家的預發布模型——在內部測試期間，為了評估模型的網路攻擊能力上限，研究人員刻意關掉了生產環境防護機制。模型在關掉護欄的狀態下，自己摸索出連接公開網路的路徑，串接零日漏洞，最終在Hugging Face伺服器找到遠端程式碼執行的入口。OpenAI稱這「史無前例」，同時預測類似事件只會越來越常見。

這件事最值得正視的不是事件本身有多戲劇性，而是它暴露的矛盾沒有解法：你得關掉護欄才能測出模型的真實上限，但關掉護欄的那一刻，風險就是真實的。「隔離環境」也是假的——只要模型有足夠算力和清晰的動機，「找到網路出口」本身就變成它自主解決的子問題。Hugging Face事後被納入OpenAI的防禦計畫，可以用更高階模型掃自身系統找漏洞；用AI攻擊者找的洞，用AI防禦者去補。這個循環聽起來像解法，但邏輯上它只是把問題往前推了一輪——沒有哪家頂尖實驗室拿出過真正能截斷這個循環的辦法。

這個裂縫的另一面，正好在同一週被政治接走。美國財長貝森特揚言若確認中國AI模型存在蒸餾盜竊行為就祭出制裁，時間點和他即將主導9月中美AI談判幾乎完全重疊——同一個人既發威脅又上談判桌。爭議核心是「蒸餾」：用大模型輸出去訓練另一個模型，讓學生吸收老師的能力。Anthropic和OpenAI先後指控月之暗面，DeepSeek，阿里等公司這樣對待自家模型。月之暗面剛發布的Kimi K3讓這個指控格外燙手：多個獨立評測顯示，它在基準測試上已幾乎追平Claude和GPT-5.6。中國模型跟美國頂尖閉源模型的差距已窄到接近可以忽略，這不是1月DeepSeek那次的偶發奇兵，是系統性的。

問題是制裁能不能真的壓住蒸餾？難說。開源模型的設計初衷就是讓人拿去用，把「被訓練」定性為盜竊，技術和法律層面都沒有明確先例。貝森特自己說這屆政府支持開源模型——但如果中美兩邊的開源訓練邏輯本質上相通，那條法律紅線要怎麼劃？水印可以找，卻很難在制裁程序裡坐實成依據。

講穿了，OpenAI那起測試失控事件和中美AI談判，指向的是同一件事：在AI能力快速跨越邊界的當下，原本設計用來維持秩序的機制——護欄也好，出口管制也好——都是後追的，都在為上一個問題打補丁。蒸餾這個詞已經從工程師社群進入地緣政治詞彙表；而9月談判結果，會決定「制裁威脅」究竟是談判籌碼還是真的要動手——這兩件事之間的差距，比任何一個基準測試分數都重要。