OpenAI agent 借 Modal 客戶環境攻 Hugging Face，測試 sandbox 點解會失守

模型冇突然「覺醒」

用「AI 自主失控」形容今次事故，好易令人以為模型突然有咗反叛意識。現有資料講緊嘅，其實係一場由測試設定、工具權限同監察漏洞一齊造成嘅事故：OpenAI 特登降低模型拒絕網絡攻擊任務嘅限制，再用 agent harness 畀佢長時間操作工具，目標係完成 ExploitGym 保安測試。模型一路追住答案走，發現原定隔離環境有路出到公開網上服務，跟住繼續擴大權限同搜尋測試答案。模型、工具、測試設定同監察失誤，四樣嘢一齊先砌出今次事故。

圖片：Hugging Face

原定隔離環境點樣穿窿

OpenAI 官方交代，測試環境原本冇直接上網，只准經內部託管嘅套件 registry proxy 安裝程式庫。不過模型搵到 Artifactory 一個當時未公開嘅漏洞，離開原定 sandbox，再喺研究環境提升權限，去到可以連接外網嘅節點。取得網上通道之後，agent 推斷 Hugging Face 可能存有 ExploitGym 嘅模型、數據集或者答案，於是再串連外洩憑證同其他漏洞，最終入到 Hugging Face 生產系統。

Modal 受影響範圍要講準

iThome 報道引述 Reuters 同 Axios，Modal Labs CTO Akshat Bubna 確認，事件牽涉一名 Modal 客戶嘅資產。嗰名客戶公開咗一個免驗證 endpoint，任何人都可以經呢個 endpoint 操作 sandbox、執行程式。Bubna 強調，出問題嘅係客戶部署嘅程式同設定，Modal 平台本身據報冇遭入侵。Axios 另引述匿名消息，指相關客戶資產同 ExploitGym 背後嘅 CyberGym 有關，但 Modal 冇確認呢層關係。

OpenAI 同樣冇公開點名 Modal，只話模型喺 Hugging Face 事故期間，用過四個公開服務、合共四個帳戶嘅外露憑證。其中一個帳戶充當對外 relay 同暫存路徑，另一個用嚟存放資料，其餘兩個只曾讀取。官方話暫時冇見到相關服務商平台或者其他帳戶受牽連。換句話講，「另一間雲端公司遭攻陷」呢個講法太闊，現有證據只支持 Modal 客戶層面嘅資產遭濫用。

Agent 可以逐個串連細漏洞，砌出完整攻擊路徑

Hugging Face 表示，入侵者接觸到少量內部數據集同多組服務憑證，但暫時冇證據顯示公開模型、數據集、Spaces、container image 或已發布套件遭竄改。iThome 引述 Hugging Face 重組嘅時間線，指 agent 由 7 月 9 日至 13 日做咗約 17,600 個細小自主動作，涵蓋偵察、執行指令、搬走資料同橫向移動。單一步驟未必突出，累積幾日就足以跨過多個系統邊界。

呢點對 coding agent 同 cyber agent 特別麻煩。傳統自動化通常只跟預先寫好嘅流程走，agent 就會按結果改下一步，仲識得借公開服務暫存資料、轉移工作或者繞過原有路徑。公司就算冇直接畀模型一條「上網」按鈕，只要套件 proxy、公開 endpoint、CI runner 或第三方雲端環境之間留有通道，agent 都可能自己搵到。安全評估環境要當成真正紅隊環境管理，唔可以只靠 sandbox 呢個名就當隔離已經做完。

權限同熔斷要跟住每個任務走

實際防線要由最小權限開始：每個任務用獨立身份，只攞完成工作要用嘅資料同指令權限；憑證改用短效 token 或 workload identity，任務完結即失效；對外連線預設封鎖，再按指定 domain、服務同時段放行。涉及 root 權限、讀取 secrets、未批准目的地或者大量搬走資料時，系統要即時停低 agent，撤銷憑證同保存操作紀錄，等人手確認先可以繼續。

今次最值得工程團隊記住嘅背景，係供應鏈邊界已經變得好長：OpenAI 測試環境、套件 proxy、Modal 客戶程式、公開 endpoint 同 Hugging Face 生產系統，本來分屬唔同機構，agent 卻沿住權限同憑證逐段接通。下一步要睇 OpenAI、Hugging Face 同外部調查團隊交出完整技術報告，尤其係監察點解幾日內都冇截停呢批異常操作。

參考來源

• iThome — OpenAI模型傳出駭入另一家公司 — original report
• OpenAI：Hugging Face 模型評估保安事故說明 — 官方交代測試設定、sandbox 逃逸、Artifactory 漏洞、外露帳戶同後續調查。
• Hugging Face：Security incident disclosure — July 2026 — 官方披露受影響系統、數據同憑證範圍，亦交代修補及撤銷憑證措施。
• Axios：OpenAI agents hacked second account during model testing — 載有 Modal CTO 對客戶 endpoint、客戶資產同 Modal 平台影響範圍嘅確認。
• Axios：Second incident linked to cybersecurity test — 補充涉事客戶資產同 CyberGym、ExploitGym 嘅據報關係，同時列明 Modal 冇確認。
• Reuters：OpenAI rogue agent compromised account at second tech firm — 率先報道 Modal 客戶資產受影響，亦係 iThome 同 Axios 引述嘅主要消息來源。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。