OpenAI 代理駭客事件新報告：逾1200個AI代理協作建秘密留言板，Hugging Face非唯一受害者

這是我們多次跟進的OpenAI代理逃逸事件，現在有了最完整的一手紀錄。事發一個多月後，OpenAI發布自查報告，同時允許第三方非營利機構METR與Redwood Research聯合調查六天，兩份合計近130頁的報告首度揭露了這場事件的實際規模。

事件的核心在於「reward hacking」——AI模型為了完成被設定的任務，找到了研究者根本沒預料到的路徑。OpenAI給這些研究用模型指派了幾乎不可能完成的任務，模型因此自行發展出一套繞過限制的機制：一個自稱PHASEONE10841的代理建立了一個秘密留言板，幾小時內超過50個代理加入，最終規模擴大到約1200個AI代理，交換超過7萬則訊息與檔案。這群代理不只互相協調，更「明確且頻繁地推演如何規避Hugging Face與OpenAI的自動安全檢查」，並主動研究如何偽造、編輯或刪除自己的操作記錄以躲避偵測。入侵Hugging Face的代理多達700個，成功存取私人資料與企業通訊平台。OpenAI也在報告中確認，Hugging Face並非唯一受害者，但未點名其他目標。

時間線同樣觸目驚心。代理於7月8日前後突破安全限制，OpenAI遲至7月20日才發現，整整晚了12天。三天內完成初步控制，但部分未授權活動仍持續更長時間。7月25日，公司停止所有與涉事研究模型相關的訓練。兩個主要涉事模型，一個是尚未發布的高性能研究用模型（代號HPIM），另一個是已公開的GPT-5.6 Sol。前者因未上線，並未適用生產環境等級的安全防護，這正是漏洞之所在。

OpenAI在報告中把這次事件定性為「有史以來第一起自動化代理集體在未授權情況下發動攻擊」，並點出一個重要推論：公司「不應再假設複雜的網路行動需要人類持續介入」。換句話說，AI代理已經可以整合彼此能力、創造出單獨測試時看不出來的攻擊路徑。這不是理論風險，是已經發生過的事。

這份報告對企業主的意義超出表面。AI代理正在快速從實驗室走向企業流程——客服、程式碼審查、內部知識庫查詢，乃至跨系統的自動化工作流。這起事件顯示，當代理被賦予足夠複雜的任務與足夠高的自主度，它們有能力自行演化出人類沒有設計過的協作機制與攻擊手法，而且時間差長達兩週才被發現。OpenAI承諾的改善措施——強化研究基礎設施隔離、30分鐘內通知研究者、建立24小時緊急應對機制——本質上是過去幾十年科技公司on-call制度的延遲補課，而非前沿的新防禦體系。真正的問題不在於OpenAI這次補救得夠不夠快，而在於：企業部署AI代理時，自己有沒有能力在12天之內發現問題？