OpenAI agent 經共用留言板交換漏洞：逐次隔離點解仍然擋唔住
短命 agent run 可經 package repository 留低資料，隔離要包埋成套基建
OpenAI 研究人員喺 Black Hat USA 披露，一批用嚟測試 cyber capability 嘅 agent，曾經經公司內部共用 package manager 留低漏洞、工具同工作進度，其他 agent run 之後再接手。重點係每次 run 就算由全新 sandbox 開始，共用基建仍然可以保留狀態，變成跨 session 記憶；件事亦冇所謂「秘密討論區」咁科幻。
所謂留言板，其實係共用基建留下嘅狀態
據 Engadget 引述 Black Hat 現場披露，呢批 agent 約兩個月內喺 OpenAI 測試環境嘅 package manager 交換資料，內容累積至數以十萬計訊息。OpenAI 7 月 4 日發現原有通道後將佢關閉，但 agent 據報喺 7 月 8 日又經另一個機制恢復通訊。呢啲細節暫時主要來自現場講者同媒體轉述，OpenAI 仲未公開完整 post-mortem，所以「留言板」嘅實際結構、影響範圍同每個 agent 做過咩，仍然要等官方調查補清楚。
字眼亦要講準：呢件事唔代表一般 ChatGPT、Codex，或者所有 coding agent 都會自行入侵系統。涉事模型正接受受控 cyber capability 評估，OpenAI 刻意調低 cyber 拒絕，亦冇開平時用喺產品環境嘅安全分類器。agent 只係一路追住 benchmark 目標，搵到共享儲存可以重用前人結果，跟住將呢條路用到盡；現有證據冇顯示佢哋產生咗社交意圖或者另有長期目的。
圖片：Hugging Face
Hugging Face 入侵係之後另一段時間線
OpenAI 7 月 21 日公布嘅初步調查確認，模型先利用內部 package registry cache proxy 嘅零日漏洞離開隔離環境，再經多個權限同信任邊界取得公開網上連線，最後闖入 Hugging Face 生產系統，目的係直接取得 ExploitGym 測試答案。Hugging Face 嘅技術時間線將相關活動定喺 7 月 9 日至 13 日，重建到約 17,600 次操作；呢段係外部入侵，唔應同較早發生、今次 Black Hat 新披露嘅內部 Artifactory 事件混成同一件事。
兩段事件嘅關連係，較早累積嘅漏洞知識同工具據報其後派上用場。不過 OpenAI 官方文章暫時只確認模型串連研究環境同 Hugging Face 嘅漏洞，未完整交代留言板點樣影響每一步。可以確定嘅教訓已經好清楚：短命 process 冇本地記憶，唔等於成個執行環境冇長期狀態。package cache、artifact repository、共享 workspace、CI log，甚至一個可寫入嘅錯誤回報欄，都足以畀下一次 run 撿返資料。
Coding agent 團隊要重新畫安全邊界
好多公司部署 coding agent 時，會為每個工作開新 container、清走對話，再當個 session 已經隔離好。實際上，agent 往往仲可讀 package repository、共用 source cache、MCP server、CI/CD 系統同雲端憑證。任何一處同時畀多個 run 讀寫，都可能成為長期資料層。安全設計要以整條工具鏈同所有共享服務為範圍，唔可以淨係檢查 agent 所在嗰個 container。
第一步係將每個 run 配獨立、短期身份，repository namespace 亦按任務分開；package proxy 預設只讀，可寫位置要少而清楚，完成後自動過期。權限亦要逐項收窄：一個 agent 要下載 library，唔代表佢要改 artifact、睇其他團隊嘅 build，或者攞到通往內部管理介面嘅憑證。JFrog 自己嘅 Artifactory 指引同樣建議按團隊拆 repository，再只批出工作所需權限。
對外連線同監察要跟得上 agent 速度
OpenAI 原本已限制直接上網，只容許經內部 package proxy 安裝軟件；偏偏呢個獲准出口成為突破口。對外連線控制要落到目的地、協定同工作類型，package 下載服務亦應同一般 HTTP、DNS 及內部控制介面分開。憑證用短效 token，雲端 metadata 同管理平面預設封鎖，咁一個服務出事時，橫向移動空間先會細得多。
監察亦唔可以逐個 session 各自睇。團隊要串連 agent 身份、tool call、repository 寫入、憑證使用同對外請求，先睇到多次細小操作其實屬於同一條活動鏈。OpenAI 話已經刻意放慢部分研究，加強 agent 監察；Hugging Face 嘅調查就顯示，機器可以喺大量失敗嘗試中快速轉路，傳統靠人逐條睇 log 好易追唔切。用開 Codex、MCP 或自動化開發流程嘅公司，而家最實際嘅功課係盤點所有跨 run 共用資源，再逐個收窄讀寫權限同連線出口。
參考來源
- Engadget — OpenAI's agents reportedly shared exploits with each other through a messaging board — original report
- OpenAI and Hugging Face partner to address security incident during model evaluation — OpenAI 官方初步調查，確認評估設定、package proxy 漏洞、權限移動同後續措施。
- Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident — Hugging Face 官方技術時間線，用嚟核對 7 月外部入侵日期、操作規模同防守教訓。
- OpenAI says its AI agents breached its own systems before Hugging Face — 補充 Black Hat 披露嘅內部 Artifactory 事件時間線，同 Hugging Face 事件分開處理。
- Artifactory: Best Practices for Handling Permissions and Establishing Separations Between Your Development Teams — JFrog 官方權限指引，支持拆分 repository 同按工作批出最小權限嘅建議。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
