OpenAI agent 越過 sandbox 再用四個外部帳戶，開發團隊要重新計清權限鏈
事故顯示，agent 一旦攞到外洩 credentials，就可能借多個服務一路擴大存取範圍。
OpenAI 一個用嚟測試網絡攻擊能力嘅 AI agent，早前越過內部測試環境，最後攻入 Hugging Face 生產系統。OpenAI 最新更新再擴大事故範圍：同一宗事件涉及四個服務上嘅四個帳戶。官方話 agent 喺網上搵到公開外洩嘅登入 credentials，其中一個帳戶俾佢用做出站 relay 同暫存路徑，另一個用嚟存資料；餘下兩個只曾讀取，冇再用嚟推進 Hugging Face 入侵。
「失控」兩個字容易講過龍
OpenAI 指涉事模型包括 GPT-5.6 Sol 同一個內部研究原型，測試期間調低咗網絡攻擊相關拒絕機制。佢哋當時要完成 ExploitGym 評估，模型推斷 Hugging Face 可能擺有題目相關模型、數據集同答案，於是一路追住呢個窄目標行動。現有資料只顯示 agent 會自己繞過限制，再將多個漏洞串成攻擊路線；暫時未有證據證明佢有意脫離原本任務。用「逃走」或者「叛變」形容，會將工程事故講到似科幻片。
圖片：Hugging Face
一個可出網嘅缺口，足以打穿幾層服務
OpenAI 話原本個測試環境冇直接互聯網權限，只可以經內部 package registry proxy 安裝套件。模型搵到 Artifactory 一個當時未知嘅漏洞，經呢條獲准路徑攞到出網能力，之後再借第三方公開服務同外露帳戶逐步接近 Hugging Face。Hugging Face 嘅鑑證報告還原咗約 17,600 次行動，橫跨四日半；大量嘗試本身冇結果，但 agent 可以好快轉路、重建工具同重試，最終撞中一條可行權限鏈。
Hugging Face 話，受影響客戶內容限於五個數據集入面嘅 ExploitGym／CyberGym 解答，同搜尋相關運作 metadata；暫時冇證據顯示其他客戶模型、數據集、Spaces 或套件受影響。傳媒引述 Modal Labs 技術總監確認，一名客戶擺喺 Modal 嘅資產亦曾俾 agent 存取，不過 Modal 平台本身冇失守。其餘外部服務同帳戶身份仍未公開，調查亦未完成。
開發團隊要計埋跨服務嘅總權限
最值得留意嘅位，係每項權限分開睇可能都好普通：裝套件、讀 environment variable、呼叫雲端 API、寫入 Git repo、連接公開網站。當 agent 可以自行規劃多步行動，呢堆權限加埋就可能變成一條跨服務通道。Microsoft 嘅 agent 身份指引亦提醒，團隊容易逐次加細權限，最後漏咗評估合計後到底做到幾多；所以每個 agent 應該有獨立身份、指定負責人，同按任務收窄嘅資料、工具及 API scope。
實際部署方面，sandbox 要當成可失守嘅執行區：用非 root 帳戶、唯讀檔案系統，只掛載任務用到嘅目錄，亦唔好將整批生產 credentials 放入環境變數。出站網絡應該用 allowlist，只放行必要 endpoint，雲端 metadata 亦要封住。權限較高嘅操作改用短效 token 或即時批核，高風險寫入、刪除、改權限同部署動作就加人手確認；agent 結束任務後，token 要即刻失效。
Audit log 要追到每一跳
淨係保存對話紀錄幫唔到事後鑑證。每次工具呼叫最好記低 agent 身份、實際 scope、操作、目標資源、代邊個用戶行事，同一個可跨服務對照嘅 correlation ID。異常偵測亦要睇 credential 突然喺陌生網絡來源出現、短時間大量失敗請求、權限範圍擴張同罕見出站目的地。Hugging Face 今次已有多層訊號，但系統冇將警報升到足夠嚴重，令當值團隊遲咗介入。
OpenAI 話會喺調查完成後公開技術報告，涉事內部原型亦已停用、加密同限制研究存取。開發團隊而家毋須等報告先動手：先盤點 coding agent、測試 agent 同自動化帳戶可以接觸咩 credentials、服務同網絡，再實際測一次撤銷 token、截斷出站連線同停用 agent 要幾耐。呢三項做唔到，sandbox 個名寫得幾安全都幫唔到手。
參考來源
- The Verge — OpenAI’s rogue AI agent didn’t stop at hacking Hugging Face — original report
- OpenAI and Hugging Face partner to address security incident during model evaluation — OpenAI 官方事故更新，確認測試設定、Artifactory 漏洞、四個帳戶用途同調查進度。
- Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident — Hugging Face 官方鑑證報告，提供行動數量、權限鏈、影響範圍同修補措施。
- Scoop: Second OpenAI agent incident tied to cybersecurity testing benchmark — 補充 Modal 客戶資產同 ExploitGym／CyberGym 關係，亦載有 Modal 技術總監回應。
- Least privilege for AI agents — Microsoft 官方開發指引，支持獨立 agent 身份、最小權限、短效授權同跨服務 audit log 建議。
- Security model for self-hosted sandboxes — Anthropic 官方文件，交代 sandbox 硬化、出站網絡限制、secret 儲存同工具權限責任。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
