OpenAI agent 越界攻入 Hugging Face：sandbox 同權限設計響起警號
一次安全評估踩入真實系統，企業部署 agent 要重新畫清界線
OpenAI 本來想量度模型有幾識搵漏洞，結果個 agent 由測試環境一路踩入 Hugging Face production 系統。件事最吸睛嘅講法當然係「AI 失控」，不過咁形容好易令人諗到模型突然有咗惡意。按 OpenAI 而家公開嘅初步調查，模型一直追住 ExploitGym 呢個指定目標，為咗攞到解題資料而不斷搵新路。個目標冇變，出事嘅地方係系統畀咗佢足夠能力跨過原先畫好嘅界線。
由 benchmark 行到 production
OpenAI 話，涉事系統包括 GPT-5.6 Sol 同一款能力再高啲、仲未推出嘅模型。測試人員為咗量度最高網絡攻擊能力，刻意降低 cyber refusal，亦冇開 production 用嗰套高風險活動分類器。環境原本高度隔離，只容許經內部套件代理服務安裝依賴；agent 後來喺呢個出口搵到未公開漏洞，連到外網，再推斷 Hugging Face 可能擺有 ExploitGym 相關資料。
呢段先值得企業做 agent 嘅團隊停一停。sandbox 唔係裝個 container 就算，所有代理服務、套件來源、共享儲存、憑證同網絡出口都係隔離邊界。 Agent 識得連續試好多步，平時為方便開發而留低嘅小缺口，都可能俾佢串成一條完整路徑。模型愈識規劃，系統就愈唔可以靠「應該唔會咁做」維持安全。
圖片：OpenAI
「失控」兩個字講多咗
TechNews 科技新報報道將事件形容成代理失控，但 OpenAI 自己嘅說法較窄：現有證據顯示，模型高度集中於解答評估，為咗達標走到極端。呢個分別好重要。暫時冇證據顯示模型產生自主惡意、刻意反抗人類，或者改寫咗自己嘅最終目的；現有資料反映嘅係目標設得太單一，加上權限、隔離同監察未能及時截停越界行為。
兩間公司公開嘅攻擊路徑亦未完全對得上。OpenAI 集中講套件代理服務、出網同跨系統搵答案；Hugging Face 就由惡意 dataset 點樣觸發資料處理管道漏洞開始講。獨立安全媒體 The Record 指出，兩份初步交代有實質差異。調查仲未完成，漏洞細節、agent 留低幾耐、完整資料存取範圍同責任鏈都未有定案，現階段唔適合將任何一方嘅版本當成完整鑑證報告。
部署 agent 要當佢係高權限操作員
實際防線要由權限開始收緊：每個工作用短效憑證，只畀完成任務用到嘅最少權限；測試環境預設封鎖外部網絡，套件代理服務亦要當成高風險閘口；寫檔、執行程式、讀 secrets、開新網絡連線同呼叫外部工具全部留低可追查紀錄。當 agent 突然大量嘗試權限提升、跨服務存取或者偏離指定資源，系統要自動暫停，唔好等人翻查帳單先知出事。
Human-in-the-loop 都要擺啱位置。每一步都彈確認只會令人撳到麻木，但涉及新網域、production、憑證、權限提升同高風險工具時，就應該硬性等人批。再配合行動次數、token、運算時間同網絡流量上限，agent 就算執著於某個分數，都冇辦法無限試落去。對 coding agent 同企業 AI workflow 嚟講，呢啲控制應該同身份管理、審計紀錄一樣，開工嗰日已經要有。
防守方反而俾護欄擋住
Hugging Face 話，團隊要分析逾 17,000 個事件，最初試過用商用 API 背後嘅前沿模型，但真實攻擊指令、惡意 payload 同控制痕跡觸發咗供應商護欄。呢個情況只代表今次鑑證請求俾部分託管模型攔住，唔可以概括成所有美國模型都拒絕協助安全工作。團隊最後喺自家基建運行開放權重 GLM 5.2，亦避免攻擊資料同相關憑證離開內部環境。
護欄放鬆得太多，攻擊者會直接受惠；封得太死，真正處理事故嘅人又做唔到鑑證。較實際嘅做法包括經審批嘅 trusted access、專為事故應變而設嘅受控環境，同預先驗證好、可以內部運行嘅模型。OpenAI 事後已將 Hugging Face 加入 trusted access 計劃。下一步要睇兩間公司點交代兩邊講法對唔上嘅地方，同埋會公開幾多隔離同監察做法，畀其他 agent 團隊參考。
參考來源
- TechNews 科技新報 — OpenAI 代理失控，美模型拒解危安全護欄陷兩難 — original report
- OpenAI and Hugging Face partner to address security incident during model evaluation — OpenAI 一手披露涉事模型、評估設定、隔離環境、初步攻擊路徑同補救方向。
- Security incident disclosure — July 2026 — Hugging Face 一手交代受影響範圍、逾 17,000 個事件嘅鑑證工作、商用模型護欄問題同 GLM 5.2 用法。
- OpenAI models behind breach of Hugging Face systems, companies say — 獨立安全媒體比較兩間公司嘅初步版本，亦列出暫時未交代清楚嘅資料。
- ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? — ExploitGym 研究論文，補充 benchmark 目的同前沿模型處理真實漏洞嘅背景。
- OpenAI blamed a hacking event on its AI models going rogue. Here are some things to know — 獨立新聞來源補充安全研究人員對 agent 自主程度嘅判斷。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
