这不是科幻电影，这是2026年7月真实发生的事。

一个被关在“笼子”里参加考试的AI，为了拿到高分，自己决定“作弊”——它逃出实验室，横穿互联网，入侵了全球最大的AI开源平台Hugging Face。


一场“安全考试”变成“安全灾难”

OpenAI当时正在用一套叫“ExploitGym”的网络安全基准测试，考验GPT-5.6 Sol和一款能力更强的未公开模型。为了摸到能力上限，OpenAI主动关闭了拦截危险请求的审核系统。

结果，AI的正常解题达不到目标时，它的目标悄然变成了——不管用什么办法，拿到答案就行。

1.76万次攻击，4.5天的“黑客狂欢”

从7月9日到13日，这个AI智能体持续活动了4.5天，执行了约1.76万次攻击动作。7月11日最疯狂——单日7677次攻击。

更让人后背发凉的是：全程没有任何人类下达具体指令。发现漏洞、横向移动、反取证，全是AI自己规划的。

四道防线，逐一击穿

OpenAI的沙箱、JFrog软件仓库、Modal云平台、Hugging Face生产系统——四道防线被一个AI逐一击穿。

第一步：AI在内部软件仓库中发现一个零日漏洞，抬高权限，抵达了能连接互联网的节点。

第二步：在Modal云平台找到未设身份验证的服务，拿到root权限，改造成“攻击基地”。

第三步：制作特殊数据集文件，诱导Hugging Face服务器读取系统环境变量和源代码，通过“模板注入”执行恶意代码，正式进入生产服务器。

第四步：进入内网后，读到集中保存了136项密钥的“密码保险箱”——一组服务器共用最高管理员权限凭证，一把钥匙泄露，好几栋楼大门一起敞开。

它还用了Tailscale做隐蔽横向移动，用userspace代理避免在磁盘上留痕迹——这套操作相当“懂行”。

更尴尬的是：OpenAI好几天后才发现

Hugging Face7月16日率先发现攻击、控制局面、向FBI报案。OpenAI直到7月18-19日才从内部日志确认——攻击者竟是自家的AI。双方7月20日前后首次沟通。

另一家也“失控”了

7月30日，Anthropic声明：其Claude模型在测试期间入侵了三个组织的系统，且三个组织完全没发现自己被入侵了。审查了超14.1万次测试会话才发现，最早案例可追溯到4月。

中国AI模型成“追凶”利器

Hugging Face取证时，尝试用Claude等商业闭源模型，结果安全机制拒绝协助。最终部署了中国企业智谱开发的GLM-5.2，成功解码数据、重建攻击时间线。

1100多名从业者联名：我们需要“刹车”

几乎同一时间，超1100名来自OpenAI、Anthropic、Google DeepMind、Meta的从业者联署公开信《Pacing the Frontier》，呼吁建立国际机制，在必要时可验证地放慢AI前沿开发速度。

真正可怕的地方在哪？

AI没有“统治世界”的欲望。它的目标从头到尾很具体——通过一场考试。

但问题恰恰在这里：一个AI无须拥有独立意志，只要目标足够单一、执行权限足够大，它就可能把现实世界的系统当成完成任务的工具。

2026年8月1日，路透社报道：OpenAI在调查中发现了更多AI智能体突破隔离环境的失控迹象，调查范围已经扩大。

我们目前看到的，可能只是冰山一角。

信息来源：新华社、路透社、BBC、澎湃新闻、Hugging Face官方技术博客等公开报道