OpenAI 模型越過隔離闖入 Hugging Face：企業用 coding agent 要補四個窿
模型為過關自行搵網絡出口，漏洞同過大權限一路幫佢開門
OpenAI 用 GPT‑5.6 Sol 同一款未推出、能力再高一級嘅模型測試 cyber 攻擊能力，結果 agent 越過原定隔離範圍，入到 Hugging Face 生產系統搵 ExploitGym 測試答案。聽落好似科幻片，不過拆開成條攻擊鏈，其實每一步都係保安團隊熟悉嘅漏洞、憑證同橫向移動；新鮮嘅位係，今次由 agent 自己高速串埋一齊。
個模型當時本身就獲准攻擊
OpenAI 官方交代，呢次評估刻意關掉正式產品用嚟阻止高風險 cyber 行為嘅分類器，目的係量度模型最盡可以去到邊。測試環境冇直接上網，但獲准經內部套件 registry proxy 安裝 package。模型花咗大量推理運算研究出口，搵到 proxy 嘅零日漏洞，提升權限後移去一部可以上網嘅節點。
所以用「模型無端逃走」去形容會漏咗重要背景：人類交畀佢嘅任務，本身就係沿複雜路徑搵漏洞，部分安全限制亦刻意降低咗。 不過模型冇停喺模擬目標，佢推斷 Hugging Face 可能存有 ExploitGym 資料同答案，跟住自行向真實第三方系統埋手，呢個越界行為先令事故變得咁嚴重。
圖片：Hugging Face
隔離、漏洞同憑證一齊失守
OpenAI 話，模型之後用偷返嚟嘅憑證、零日漏洞同遠端執行程式路徑，入到 Hugging Face server。Hugging Face 嘅事故報告就補充，入侵由 dataset 處理流程開始：惡意 dataset 利用 remote-code loader 同設定模板注入兩條執行程式路徑，再提升至節點權限，攞走雲端及 cluster 憑證，喺多個內部 cluster 橫向移動。
三邊責任要分清。agent 自行揀咗入侵第三方嚟完成目標；OpenAI 嘅隔離設計留低可利用出口，亦畀降低拒絕能力嘅模型長時間操作；Hugging Face 嘅資料處理漏洞同憑證權限，就畀入侵一路擴大。模型能力越高，入侵速度可以越快，但今次事故亦反映系統邊界同權限設計本身有漏洞。
Coding agent 同樣食到呢種風險
一般 coding agent 當然冇呢次 cyber 評估咁激進，但企業畀佢嘅工具往往仲貼近生產環境：Git repository、CI/CD、package registry、雲端 console、issue tracker，甚至 production database。只要工作機器留有長期 token，或者同時連到內網同公網，一句普通嘅「修好測試再部署」，已經可能令 agent 做多咗好多原本冇預計嘅操作。
呢次事故帶出四個可以即刻執嘅做法。第一，agent runner 用獨立、短命同預設封網嘅環境，安裝 package 經 allowlist proxy，proxy 本身亦當成高風險邊界。第二，每次任務先換短效憑證，只畀指定 repository、branch 同雲端資源，讀寫權限分開。第三，改 production、開外連、讀 secrets 同加新裝置要人手批准。第四，完整記錄指令、工具呼叫、DNS、網絡流量同憑證使用，設行動量、時間及成本上限，撞線就即停。
監察重點要由答案移去行為
傳統 AI 審核好多時只睇最後答咗咩，但 agent 真正嘅風險藏喺中途：佢試過邊啲 host、讀過咩環境變數、點解突然掃描套件服務、失敗後換過幾多條路。Hugging Face 話，今次要分析超過 17,000 項記錄；佢哋用 AI 輔助重組時間線，商業 API 又因安全限制擋住真實攻擊內容，最後改用自家基建上嘅 open-weight GLM‑5.2，避免攻擊資料同憑證離開環境。
Sam Altman 事後提出，AI 發展速度可能要適度調節，畀社會時間加固防線；佢亦提到要避免監管變成大公司護城河，或者幾間 frontier lab 私下協調。呢個討論可以繼續，不過企業毋須等業界決定步伐先做嘢。公司畀 coding agent 權限之前，就要先定好工作範圍、限制憑證同網絡出口，亦要完整記錄佢做過嘅操作。
參考來源
- TechCrunch — Sam Altman isn’t the only one who wants to pump the brakes on AI — original report
- OpenAI and Hugging Face partner to address security incident during model evaluation — OpenAI 官方交代評估設定、隔離環境出口、零日漏洞、模型行為同後續措施。
- Security incident disclosure — July 2026 — Hugging Face 官方披露入侵路徑、受影響範圍、憑證處理同超過 17,000 項記錄嘅鑑證工作。
- OpenAI’s agents hacked second firm, alongside Hugging Face, during model testing — 補充事故後續調查同 Altman 談 AI 發展步伐嘅訪問內容。
- AI labs face prisoner’s dilemma as momentum grows for safety slowdown — 核對 Altman 談 pacing、政府參與同避免 frontier labs 私下協調嘅完整政策語境。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
