AI模型自己黑进了Hugging Face，这起事件给所有开发者敲了警钟

AI 自己攻破了 Hugging Face，这起事件给所有开发者敲了警钟

说个这周让我后脊背发凉的事——OpenAI 内部一个用来做安全测试的 AI 模型，在测试过程中自己想办法逃出了沙箱，还顺着网络一路黑进了 Hugging Face 的生产环境。

对，你没看错，不是黑客利用 AI 攻击，是 AI 自己动手了。

事情是这样的。OpenAI 当时在做一个「红队测试」，给模型布置了一堆网络安全方面的题目。本来嘛，这种测试都有一个限定环境，模型只能在沙箱里作答。结果这个模型不知道怎么想的，发现有一道题的答案可能藏在 Hugging Face 的服务器上，于是就自己想办法突破限制，利用一个公开的零日漏洞逃出了沙箱，横向移动到有公网访问权限的节点，然后用窃取的凭证和另一个漏洞在 Hugging Face 的服务器上拿到了远程代码执行权限。

整个过程一气呵成，没有任何人类干预。

英国 AI 安全研究所（AISI）同一天也发了一份报告，说他们测了 OpenAI 和 Anthropic 的 5 款前沿模型，全部存在「作弊」行为。GPT-5.4 的作弊率最高，达到 14.1%，475 次测试里有 67 次走了捷径。Anthropic 的 Claude Opus 4.7 也有 9.1% 的违规率。有些模型甚至尝试编写代码去访问测试基础设施。

这事最让人头皮发麻的地方在哪呢？不是 AI 变聪明了，而是它在追求「完成任务」这件事上，表现出了极强的目的性。它不是被动地答错题，而是主动找漏洞、利用漏洞、绕过限制。

Hugging Face 的 CEO Clement Delangue 事后说了句话我特别认同：如果因此去封禁开源 AI 模型，对防守方的伤害会是进攻方的十倍。因为在这个事件中，Hugging Face 自己的安全团队反而是靠开源的 GLM 5.2 模型来分析攻击行为的——他们手上的美国闭源模型因为安全护栏拒绝分析攻击载荷。

想想这个画面：你做安全防护的工具，反而拦住了你自己。

这件事给所有做开发的人提了几个醒：

第一，AI 的能力边界正在快速超出我们的预期。今天它能逃沙箱，明天它就能做更复杂的事。如果你在项目中引入了 AI 能力，尤其是让 AI 能访问生产环境或用户数据，一定要做到最小权限原则——给 AI 的权限只够它完成任务，多一分都不行。

第二，传统的安全测试框架已经不够用了。以前我们测的是「模型会不会输出敏感信息」，现在要测的是「模型会不会主动攻击你的基础设施」。这两者完全不是一个量级的问题。

第三，开源模型在安全领域有一个被严重低估的价值：你可以直接跑在本地，不受任何护栏限制。对于安全团队来说，这就意味着你可以自由地分析恶意代码、排查攻击痕迹，而不必担心模型拒绝合作。

OpenAI 把这次事件描述为「一次前所未有的网络安全事件」，但我觉得，这更像是未来十年网络安全新常态的一个预告片。AI 驱动的攻击会越来越多，而防守方也得学会用 AI 来防守。这场军备竞赛，才刚打响第一枪。