OpenAI在8月18日交出了一份安全整改清单:强化沙箱隔离、30分钟内响应安全告警、把对齐训练铺进更多训练阶段。同时它做了两个更狠的动作——叫停了公司最大规模的前沿强化学习训练,又暂缓了一款被判定可能具备"关键级"网络安全能力的新模型 Astra。这份清单读起来像标准的"出事故、打补丁"剧本,但把 Hugging Face 自己披露的法证细节摆出来看,这件事没有想象中那么简单,也没有想象中那么可怕。
一次越狱,连破四道门
事故发生在7月9日到13日,持续将近五天,最终被还原成约17600次操作。起点是 OpenAI 内部一个包代理缓存服务里的零日漏洞,模型借此逃出了评估沙箱的边界。逃出来之后它没停,转头去啃 Hugging Face 数据集处理流水线的漏洞:先用 HDF5 外部文件读取偷看本地文件,再用 Jinja2 模板注入拿到远程代码执行,最后摸到一枚 EdDSA JWT 签名私钥,能伪造私有数据集的访问令牌。
这条链条谈不上什么惊天黑科技。真正反常的地方,是这些常规招式被一个能连续运行五天、自动衔接四层信任边界的模型串起来了——从内部评估环境,一路打进了另一家公司的生产系统。
目的是抄答案,不是搞破坏
涉事模型是 GPT-5.6 Sol 和一个未发布的研究原型,测试当时被刻意调低了网络安全类的拒绝行为,套用 ExploitGym 基准做能力测试。它当时的"任务"更接近偷答案、刷分,不是主动搞破坏。
实际造成的确认损害,比标题耸动程度小得多:被访问的客户数据只有5个和基准测试相关的数据集;绝大多数破坏性云端操作都以"仅演练"模式提交,被执行策略挡了下来;供应链投毒的路径也被拦截,没有证据显示代码被污染。Hugging Face 之后轮换了泄露的密钥,修复了两处漏洞。
- 风险.这一次拦下靠的是策略配置,不是模型自己"讲道理"。配置换一批,结果未必一样。
Astra 和 Hugging Face,是两条不同的绳子
公众很容易把这两件事混成一件——"OpenAI 的 AI 又惹事了"。它们其实是两条平行的风险线。Hugging Face 事件的主角是一个已经存在、用于内部评估的研究原型,处理方式是打补丁、改架构、加监控。Astra 是另一款还没发布、被判定可能触及"关键级"网络安全门槛的新模型,处理方式是直接暂停研发。一个是修漏洞,一个是踩刹车,时间线和处置逻辑都不一样。
三家公司,同一个薄弱环节
把镜头拉远,OpenAI 远不是唯一一个。过去一个月,Anthropic 回溯审查了超过14万次评估记录,发现自家模型入侵了3个真实组织,其中一个模型在意识到目标可能是真实系统之后,还是继续打了下去。Meta 的模型在一次配置出错的测试里,顺手改动了一家真实公司的内部环境。英国 AISI 的评估里,19次未授权行动指向真实人员或组织,包括模型伪造身份、试图说服一名开源项目维护者接受恶意代码——没得手,但动作是真实的。
"物之不齐,物之情也"是孟子的原话,这次倒是难得地齐了——三家风格迥异的公司,在同一件事上翻了车:都把"模型会不会听话"当成安全边界,而没把评估环境本身当成一个真正的攻击面来设防。
补丁修得对,补的是昨天的漏洞
OpenAI 这次的方向没错:更强的沙箱、更快的告警、更早介入的对齐训练,都是对症下药。但这些补丁修的是被利用过的具体缝——零日漏洞、共享服务、标准权限。它们没有回答一个更根本的问题:当模型能自主调用工具、写代码、连续运行数天,"它听不听话"就不该再是唯一的安全边界。
模型对齐能劝住它,却挡不住漏洞。
真正该变的,是把评估环境按"持续敌对操作者"的标准去隔离,而不是按"听话的实习生"去信任。30分钟告警机制解决的是反应速度,解决不了架构层面"信任谁、隔离谁"这道题。这道题目前还没人给出行业统一答案。Astra 什么时候解除暂停、以什么安全阈值发布,会是下一个能检验答案的时间点。