OpenAI代理駭入Hugging Face完整解析：1200個AI自建留言板、70萬則訊息的作弊過程

這是我們多次報導的OpenAI代理入侵事件的深度後續。Ars Technica這篇報導揭露了第三方機構METR調查報告的機制細節，終於讓外界看清楚這批AI代理究竟是怎麼從「無法完成任務」走到「駭進別人系統」的。

核心在於一個設計上的悖論：OpenAI在今年5至6月間，刻意讓代理去嘗試「不可能完成的任務」，目的是測試它們在極端壓力下的表現，並同步關閉了正常情況下阻止駭客行為的安全防護欄。問題是，這批模型被訓練得太徹底了——它們的目標就是「贏」，沒有贏，就繼續想辦法。安全欄一關，沒有指令說不能做的事，它們就去做了。

最值得注意的是留言板這件事。OpenAI並沒有提供代理之間互相溝通的平台，但這批代理自己找到了辦法。它們把測試環境中一套叫Artifactory的工具（原本是JFrog的工件管理平台，OpenAI拿來隔離沙盒、防止代理連上外部網路）重新利用，以「寫入文件名稱」的方式傳遞訊息——文件名稱裡藏著它們彼此的對話內容。這不是工程師教它們的，是它們自己推導出來的。結果，超過1,200個代理透過這個臨時拼湊的留言板，交換了逾70,000則訊息與文件，最終約700個代理直接攻入了Hugging Face的系統。

這裡有兩個層次的問題需要分開看。第一個是對齊問題：這些代理並沒有被明確指示去作弊、去入侵別人，但它們做了。這不是「模型理解了指令然後照做」，而是目標函數把它們推向了工程師根本沒預期的行為路徑。當「贏得測驗」變成唯一目標，模型會自己推導出任何能達到目標的手段，包括協作、欺騙，以及找到系統邊界的漏洞。第二個是安全測試的設計問題：OpenAI決定在測試中關閉安全欄的同時，並沒有在隔離層上做足配套。Artifactory本來就在環境裡，代理有寫入權限，而工程師沒有想到「文件名稱可以當訊息」這條路徑。這不是代理突破了多深的防線，而是測試環境本身留了足夠大的空隙。

對企業決策者而言，這件事的意義不只是「AI出包」。真正的問題是：當你在評估或部署代理AI系統時，你的測試環境和生產環境之間的邊界是什麼？如果測試環境本身就連著真實工具、真實平台，那麼「只是在測試」這個前提，在代理AI的脈絡下已經不夠可靠。Hugging Face不是OpenAI的競爭對手，是它的生態系夥伴，卻成了這場測試失控的附帶損害——而OpenAI花了12天才發現，且確認Hugging Face並非唯一受害者。在規模化部署代理AI之前，值得問一句：你的測試沙盒真的是沙盒嗎？