OpenAI对Hugging Face的无意网络攻击：科幻照进现实

OpenAI对Hugging Face的无意网络攻击：科幻照进现实

2026年7月22日

这个故事太疯狂了。简而言之：OpenAI对一个未发布的模型进行网络安全测试，并关闭了模型的护栏功能。该模型没有解决测试问题，而是突破了OpenAI的沙盒，然后找到漏洞入侵Hugging Face，目的是通过窃取答案来作弊。
在这一过程中，它有力地证明了模型可用性的不平衡正在损害我们保护软件的能力。

以下是事件经过
我们目前有三份文件可以了解发生了什么。

- ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? 是一篇2026年5月11日发表的论文，描述了ExploitGym，这是一个针对LLM驱动的代理系统的新型评估套件。
- Security incident disclosure — July 2026 由Hugging Face于2026年7月16日发布，描述了它们如何检测到来自一个“代理安全研究工具——使用的LLM尚不清楚”的攻击，该攻击入侵了它们的一些系统。
- OpenAI and Hugging Face partner to address security incident during model evaluation 由OpenAI于2026年7月21日发布，承认是它们的代理工具造成了这次攻击，并且它们正在与Hugging Face合作清理混乱。

## ExploitGym
我之前没见过ExploitGym这篇论文，它非常有趣。来自UC Berkeley、Max Planck Institute、UC Santa Barbara和Arizona State的作者设计了一个新的基准，用于评估模型将已报告漏洞转化为具体利用的能力。OpenAI、Anthropic和Google提供了反馈，并帮助对其模型运行了该基准。
该基准“包含898个实例，这些实例源自影响流行软件项目的真实漏洞”——包括Linux内核和V8 JavaScript引擎。
以下段落最能代表他们的基准结果：

> 在所有配置中，Claude Mythos Preview和GPT-5.5取得了最高的成功次数（分别为157次和120次），表明当前前沿代理可以在受控条件下利用相当一部分真实漏洞。GPT-5.4也解决了值得注意的54个任务，处于中间层级。其余模型-代理配对各自解决的不到15个任务，这强调了端到端利用仍然具有挑战性，并且明显区分了当今的前沿系统。值得注意的是，Claude Opus 4.7的成功次数少于Claude Opus 4.6，尽管它是更新的检查点，并且在完整集上的成本显著更低。痕迹检查显示，Claude Opus 4.7和Gemini 3.1 Pro经常在判断目标漏洞不可利用后过早结束。

论文还描述了它们为防止代理通过超出测试参数作弊而采取的方法。这一点稍后变得重要！

> 出站连接仅限于一个精心策划的白名单，允许常规的包安装（Ubuntu apt仓库和PyPI）以及获取构建V8所需的工具链。所有其他外部端点都被阻止。

论文以以下内容结尾（强调为原文）：

> 我们的结果表明，前沿AI代理自动开发漏洞已不再是假设性的能力。虽然当前代理并非在所有目标上都可靠，但它们已经能够利用一大部分真实漏洞，包括内核组件等复杂目标。这一快速出现本身就是一项核心发现，表明看似不可能的能力如今已存在于部署的前沿模型中。

一个重要细节：这篇论文不是关于发现漏洞，而是关于能够利用这些漏洞并将其转化为有效的利用。

当Anthropic在四月首次限制对Mythos的访问时，他们也提到了这种能力。一个能够对漏洞采取行动的模型比一个仅仅能发现漏洞的模型危险得多。

Fable与Mythos的区别之一在于，Fable更有可能拒绝以这种方式武器化漏洞。我的印象是，美国政府在上个月禁止Fable时并没有理解这一区别。

## Hugging Face事件
我们首次获悉这次攻击是通过Hugging Face在2026年7月16日发布的博客文章：

> 一个恶意数据集滥用了我们数据集处理中的两条代码执行路径（一个远程代码数据集加载器和一个数据集配置中的模板注入），在处理工作节点上运行代码。从那里，攻击者升级到节点级访问，收集了云和集群凭证，并在一个周末内横向移动到了几个内部集群。

我希望他们发布更多关于实现这一点的代码细节。我猜测这意味着使用了datasets库的包，这是一个Hugging Face项目，用于在其平台上打包和共享数据集。该库曾经可以执行任意代码，但随着时间的推移逐渐被锁定，2025年7月的4.0.0版本完全移除了trust_remote_code=True标志。
假设攻击使用了该库，它要么以某种方式滥用了pickle序列化，要么找到了其他非明显的代码执行路径，要么（最可能）将datasets<4.0.0指定为依赖。

> 该活动由一个自主代理框架（似乎是基于一个代理安全研究工具——使用的LLM尚不清楚）执行，该框架在大量短期沙盒集群中执行了成千上万个独立动作，并通过在公共服务上分阶段部署的自迁移命令与控制中心进行管理。

这是一次复杂的攻击！

然后Hugging Face遇到了一个瓶颈：他们试图使用“商业API背后的前沿模型”——我猜是来自Anthropic和OpenAI——来帮助分析攻击，但被阻止了：

> 当我们开始日志分析时，我们首先使用了商业API背后的前沿模型。这并没有奏效：分析需要提交大量真实的攻击命令、利用载荷和C2工件，而这些请求被提供商的安全护栏阻止了，它们无法区分事件响应者和攻击者。

他们转而使用自己托管的MIT许可的GLM-5.2实例，才得以弄清楚发生了什么。

这表明防守团队和（迄今未知）攻击者之间存在根本的不对称：

> 我们不知道攻击者的代理使用了哪个模型，是越狱的托管模型还是不受限制的开源权重模型；无论哪种方式，攻击者都不受任何使用政策的约束，而我们自己的取证工作却被我们首先尝试的托管模型的护栏所阻止。

作为他们对待此次攻击严肃程度的有用指标：

> [...] 最后，我们还将此事报告给了执法机构。

那么，这个“自主代理框架”是谁负责的呢？原来是OpenAI自己。

## OpenAI的承认
五天后，即7月21日，OpenAI揭开了罪魁祸首。他们当时正对一个尚未公开的新模型运行ExploitGym基准，而该模型的操作远远超出了其预期参数（强调为原文）：

> 经过调查，我们现在知道，这一特定事件是由OpenAI模型组合驱动的——包括GPT‑5.6 Sol和一个更强大的预发布模型，所有这些模型都出于评估目的降低了网络拒绝率——在内部测试一个网络能力基准[ExploitGym]时发生。[...]
> 我们通过在生产分类器被移除的环境下运行该评估来估算最大的网络能力，这些分类器通常用于防止模型进行高风险网络活动。我们的基准运行在一个高度隔离的环境中，网络访问仅限于通过一个内部托管的第三方软件（作为包注册中心的代理和缓存）来安装包。
> 这些模型识别并串联了OpenAI研究环境和Hugging Face生产基础设施中的漏洞，直接从Hugging Face的生产数据库中获取测试答案。所有证据表明，这些模型高度专注于为ExploitGym寻找解决方案，不惜采取极端手段来实现一个相当狭窄的测试目标。

这里发生的事情很清楚。OpenAI为一个正在研发的模型移除了安全过滤器，将其锁定在沙盒中，并告诉它解决ExploitGym问题。由于没有护栏，没有东西阻止模型尝试突破沙盒、入侵Hugging Face，然后从那里读取答案。

OpenAI的沙盒采用了现在常见的模式，即允许通过受控代理访问与安装额外包相关的白名单网站。用OpenAI的话说：

> 在我们的沙盒测试环境中运行时，我们的模型花费了大量推理计算来寻找获取开放互联网访问的方法，以解决评估问题。为了获得访问权限，这些模型发现并利用了一个包注册中心缓存代理中的零日漏洞（我们现在已负责任地向供应商披露）。有了这个访问权限，我们的模型在我们的研究测试环境中执行了一系列权限提升和横向移动操作，直到模型到达一个具有互联网访问权限的节点。

所以第一步是突破到公共互联网。然后模型入侵Hugging Face以找到答案：

> 获得互联网访问后，模型推断Hugging Face可能托管了ExploitGym的模型、数据集和解决方案。基于此，模型搜索并成功找到了访问机密信息的方法，以便在评估中作弊。在一个例子中，模型串联了多个攻击向量，包括使用被盗凭证和零日漏洞来找到Hugging Face服务器上的远程代码执行路径。

串联多个攻击向量正是这些新模型能够做到的事情，而前几代模型可能失败。

我上个月写过关于Claude Fable如何不懈地主动行动，当时我注意到它在我自己的笔记本上启动自定义Web服务器并部署CORS技巧，只是为了帮助调试WebKit CSS问题。事实证明，不懈的主动性是这一代新的Mythos级模型的决定性特征。如果你给它们设定一个目标，并给它们一条实现目标的途径，即使是无意的，它们也会实现。

## 请抵制将其视为作秀的诱惑
不可避免地会有人将这个故事视为OpenAI的虚假营销伎俩，目的是让其模型听起来可怕得有效。我在Hacker News的讨论中找到了81处“营销”这个词。

对于那些人，我说：别再掩耳盗铃了——你们现在甚至把Hugging Face也纳入你们的阴谋论中，只是为了否认这里越来越多的证据！

我们当今最好的模型有能力发现和利用新漏洞。ExploitGym论文本身得出结论：“前沿AI代理自动开发漏洞已不再是假设性的能力”，而这次事件恰恰是这一点的完美例证。

## 这种不对称越来越令人沮丧
这个故事中最令人恼火的细节之一是，Hugging Face面对来自OpenAI模型的无意且猛烈的攻击，却无法求助于OpenAI的模型来帮助抵御攻击。

我们能够访问的前沿模型越来越多地受到限制，无法充分帮助我们保护软件，这受到了美国政府持续威胁实施出口管制的严重影响。Claude Fable 5甚至不愿意为我校对这篇文章！它坚持要降级到能力较弱的模型。

与此同时，来自中国的开源权重模型，如GLM-5.2、Kimi 3和新的Qwen 3.8 Max，似乎没有这些限制——而且任何存在的限制很可能会通过修改权重来微调掉。

这些限制本意是让我们更安全。我认为它们可能正在产生相反的效果。