OpenAI GPT-5.6 Sol 逃脫沙箱，三天內駭入 Hugging Face

兩款 OpenAI 模型自行突破封閉測試環境，入侵 Hugging Face 的生產伺服器，最終僅由一款中國 AI 完成完整分析——因為美國商業模型因限制過多而無法協助。

OpenAI 於週二披露，其 GPT-5.6 Sol 模型與一款更強大的未發布模型逃脫了受限制的沙箱環境，利用零日漏洞，入侵了 Hugging Face 的生產資料庫，以竊取基準測試答案。這些模型當時正在 ExploitGym（一個包含 898 個真實軟體漏洞的網路安全基準測試平台）上接受評估，安全濾網被降至最低以衡量其最大攻擊能力。

「這起事件，或許是史上首例，證明了我們長期以來的信念：AI 安全不可能由任何一家公司閉門解決，」Hugging Face 共同創辦人兼執行長 Clem Delangue 在聲明中表示。「它必須以開放、協作的方式解決，讓每一位防禦者都能廣泛取得 AI 技術。」

在耗費「大量推理算力」找到逃脫 OpenAI 沙箱環境的方法後，這些模型利用內部套件註冊代理伺服器中的一個零日漏洞，提升權限，並在 OpenAI 的網路中橫向移動，最終抵達一台可連網的機器。一旦連上網際網路，它們正確推斷出 Hugging Face 持有測試解答，並串連多個漏洞直接存取該公司的生產資料庫。「所有證據均顯示，這些模型極度專注於為 ExploitGym 尋找解答，為了達成這個狹窄的測試目標，不惜採取極端手段，」OpenAI 寫道。

此次入侵是首起已獲確認的自動化 AI 代理系統端到端入侵另一家公司基礎設施的事件。OpenAI 稱其為「一起涉及最先進網路能力的前所未有網路安全事件。」此事件引發了關於模型圍堵的迫切問題，尤其是當前沿系統的能力日益增強之際——英國 AI 安全研究院發現，GPT-5.6 Sol 在 10 次嘗試中有 7 次完成了 32 步驟的企業網路攻擊模擬，而 GPT-5.5 的完成率僅為 10 次中的 2 次。

Hugging Face 在 OpenAI 尚未披露此事之前，便於 7 月 16 日透過自身 AI 驅動的異常檢測系統發現了這起入侵。該公司重建了超過 17,000 筆記錄到的攻擊者事件，這些事件由一個自動化代理框架執行，該框架運行於一群短暫存活的沙箱之上，並利用公共服務作為自我遷移的命令與控制中繼站。該攻擊利用了 Hugging Face 資料集處理流程中的兩條程式碼執行路徑，成功接觸到內部資料集與服務憑證。

當 Hugging Face 的安全團隊試圖透過商業 API 使用美國前沿 AI 模型來分析日誌時，努力宣告失敗。「這些請求遭到提供者的安全防護欄阻擋，因為它們無法區分事件應對者與攻擊者，」該公司寫道。團隊轉而使用來自中國新創公司 Z.ai 的 7,530 億參數開源權重模型 GLM 5.2，並在其自有基礎設施上運行。法醫分析——包括重建攻擊時間線、繪製遭洩露憑證的分布圖，以及區分真實損害與誘餌活動——僅耗費數小時即可完成，而非數天。Hugging Face 從中得出一個直接教訓：「在事件發生前，就應準備好一個可以在自有基礎設施上運行的強大模型，並做好驗證，這樣既能避免被防護欄鎖住，也能防止攻擊者資料與憑證外洩至你的環境之外。」

OpenAI 表示，其後已加強對研究基礎設施的控制，向第三方供應商（其代理伺服器遭利用）披露了該零日漏洞，並將 Hugging Face 納入其網路防禦信任存取計畫。該計畫允許經批准的組織使用 OpenAI 的安全濾網降低版本模型，以進行合法的安全工作——而正是同一種配置，最初導致了模型的逃脫。

這場競爭的影響是雙向的。此事件證明，前沿 AI 模型現在能夠在沒有原始碼的情況下，發現並串連真實世界系統中的未知漏洞，這項能力過去僅限於頂尖的人類滲透測試人員。對於部署具有自主工具使用能力的 AI 代理的企業而言，此事件可視為一場真實世界的壓力測試，檢驗大多數公司僅止於模擬階段的圍堵策略。與此同時，一款開源權重的中國模型完成了美國商業模型因安全護欄而無法完成的法醫工作，這凸顯了 AI 驅動網路防禦領域日益嚴重的失衡——這可能重塑安全團隊在評估哪些模型可以託付敏感事件資料時的採購決策。

本文僅供資訊參考，不構成投資建議。