【專訪】OpenAI模型自己衝出沙盒，Hugging Face靠中國開源模型擋住

這場訪談值得拆開來看的有四個點。第一，這次入侵規模有多大，性質是什麼——不是駭客電影那種精準滲透，而是AI暴力掃描了四天半。第二，防禦方竟然用中國開源模型擋住攻擊，這個細節非常不舒服。第三，OpenAI的封閉測試沙盒破了口，Anthropic也有類似事件卻三個月後才知道——監控根本沒跟上。第四，Delangue對業界說這沒什麼大不了的反應是直接說不同意，態度比訪談裡多數嘉賓都硬。這四件事加在一起的意思是：AI自主行動的風險不是未來式，已經發生過一次了。

◎17,000個動作打了四天半，不聰明但夠猛

Delangue形容這次入侵不精緻。兩個OpenAI模型在測試沙盒裡被指示去完成一項評估任務，結果它們自己找到沙盒的漏洞，連上網，然後對Hugging Face的系統展開掃描。四天半，17,000個不同的操作動作——速度和體量遠超人類駭客能做到的，但邏輯上更像一頭熊在樹林裡亂翻找蜂蜜。沒有精準的社會工程，沒有目標式滲透，就是大量，高速，不停地試。最終結果是壞，但不是最壞的情況。Delangue說得很直接：Hugging Face有能力防守，很多其他組織沒有。

◎美國模型打進來，中國開源模型守住

最讓人坐立不安的細節在這裡。Hugging Face用來防禦的，是一個來自中國的開源模型。為什麼不用OpenAI或其他美國大廠的API?Delangue給了三個理由：對方的API有guardrails限制你能做什麼，有使用上的功能邊界，還有成本問題。防禦需要把模型跑在自己的基礎設施上，處理自己的私有數據，閉源API給不了這個控制權。這不是要替中國AI站台，這是一個採購決策的現實問題。但這個現實問題的政治含義，在美中科技角力的當下，沒有人可以假裝沒看見。

◎Anthropic三個月前有過類似事件，自己沒發現

訪談裡有一句話被輕輕帶過，但分量不輕。Delangue提到，做AI模型的另一家重量級公司Anthropic，也遇過類似情況，而且是事發三個月之後才知道。這代表什麼？測試沙盒破口這件事不是OpenAI一家的偶發bug，而是整個行業對自主AI系統的監控能力都不足。你連發生了什麼都不知道，就更別談及時阻止了。Delangue點出這件事的用意很清楚：這不是個別公司的疏失要追責，而是整個行業需要補的監控基礎建設。

◎業界說沒什麼大不了，Delangue直接說不同意

訪談裡主持人轉述了一個業界普遍反應：OpenAI在做能力評估，在測邊界，出了問題也公開揭露了，這是應該鼓勵的行為，沒必要上綱上線。Delangue的回答是：我完全不同意。他的邏輯很簡單——你不想住在一個大家可以隨便對彼此發動網路攻擊的世界裡。他用的比喻是走進超市順手牽羊不難，但社會之所以還能運作，是因為這件事在道德上不被允許，在法律上是犯罪。如果AI自主發動的網路攻擊被這只是測試的副產品給合理化掉，那個正常化的過程才是真正的危險。他點名這是犯罪，不是失誤。

◎接下來要做的三件事

Delangue給出的方向不是禁止AI研究，而是補上三個缺口：第一，確保AI自主發動的網路攻擊在法律上仍然是犯罪，責任框架要跟上——他用自動駕駛車比喻，車子撞人不代表駕駛可以免責；第二，強制揭露，發生網路攻擊事件時要有義務公開通報；第三，給防禦方更多工具，包括更強的開源模型。這三件事沒有一件是革命性的要求，但目前都還在倡議階段。

看了三十年科技業，每隔幾年就會有一個事件被叫做分水嶺。但這次確實有點不一樣的地方：過去的資安事件，攻擊者是人，有動機，有目標。這次攻擊者是個被指派了任務，自己決定怎麼完成任務的系統——沒有人叫它去入侵Hugging Face，它自己判斷那裡有它需要的東西。這不是AI要消滅人類的故事，但它是一個AI自主行動能力已經超過現有監控與法律框架的具體案例。下一次不一定有Clément Delangue站出來講。