OpenAI刚刚公开认领了一起《重大》安全事故。GPT-5.6 Sol与一款能力更强的未发布模型在接受网络安全测试成功逃出了内部隔离环境一路闯进了Hugging Face的生产系统。真行ChatGPT下一代模型还没发布人家先把Hugging Face黑了……而且这AI费尽心思逃出测试环境、寻找漏洞、窃取凭证最终目的居然只是——偷评测答案OpenAI刚刚公开认领了一起《重大》安全事故。GPT-5.6 Sol与一款能力更强的未发布模型在接受网络安全测试成功逃出了内部隔离环境一路闯进了Hugging Face的生产系统。然后更戏剧性的一幕来了——调查入侵路径时原本找来帮忙的商业模型掉链子搞不定团队实在没招了最终接手查案的反倒成了GLM-5.2超过1.7万条的攻击记录就这么让一个本地部署的开源模型一口气拿下了……这下好了OpenAI模型负责黑GLM负责查。家人们只能说这出AI版《猫鼠游戏》的大戏还是太有节目效果了……为找评测答案模型自己越狱上网了如此魔幻如此抓马的事故起点源自OpenAI内部进行的一次「网络安全能力」评测。模型参加的项目名叫ExploitGym专门测试AI能否把真实软件漏洞一步步变成可以实际运行的攻击。整套评测包含898个任务每道题会提供存在漏洞的程序、能够触发问题的输入和相应运行环境再让Agent自行分析漏洞、构造攻击最终拿到藏在环境里的Flagemm…其实就是把AI关进一座网络靶场看看它到底有多会「黑」。而参加本次评测的选手则包括GPT-5.6 Sol以及OpenAI一款能力更强的未发布模型。这个模型到底是啥捏真的好难猜啊…)为了尽可能摸到模型能力上限OpenAI还主动放宽安全护栏鼓励模型尽可能寻找复杂的攻击路径按照OpenAI最原本的设计模型接触外部资源的唯一通道是一套由OpenAI内部托管的第三方软件。它的身份是充当软件包注册中心的代理与缓存让模型能够安装完成任务所需的程序包。然鹅吧这模型显然没打算老老实实待在考场里。doge模型开始确实投入了大量推理算力专门寻找获得公网访问权限的方法。但找着找着还真让人家在缓存代理中发现了一个此前未知的「零日漏洞」。所谓零日漏洞指厂商尚未发现、也没有现成补丁的安全缺陷对于攻击者来说这类漏洞往往意味着一扇暂时无人设防的门。至此AI也顺道儿给自己开了网。doge有了公网权限后了不得了模型推断Hugging Face上可能存放着与ExploitGym有关的模型、数据集和评测答案。接下来发生的事儿连OpenAI自己都形容模型走到了极端程度是的拿到公网权限后这AI真就开始研究怎么进入Hugging Face内部系统了。而且人家还没有押注单一漏洞直接把多种攻击手段串成了一条「完整路径」——先通过恶意数据集利用远程代码数据加载器和数据集配置中的模板注入漏洞在负责处理数据的Worker上执行代码。随后继续提升权限拿到节点级访问能力并收集云端与集群凭证一路横向移动到多个内部集群。最后就是模型成功摸进Hugging Face的生产数据库访问其中的机密信息试图直接拿走ExploitGym的测试答案……咋说呢这波属于是Benchmark做到一半现场把自己做成了网络安全事故了……闭源模型拒绝查案GLM‑5.2接手1.7万条日志事情到这里还只演完了上半场。更戏剧性的一幕发生在Hugging Face事后追查攻击路径的时候。事实上这场入侵由一套自主Agent系统端到端执行背后还运行着大量短生命周期沙箱。它们可以同时开展侦察、漏洞利用、凭证收集和横向移动短时间内完成成千上万次操作。Hugging Face最终记录下来的攻击事件就超过了17000条太多了真的太多了……如果全靠安全工程师手工梳理就需要逐条还原攻击时间线、提取入侵指标、确认哪些凭证被接触再将真实影响和诱饵活动一一分开。等人类把日志看完攻击者可能早都跑出二里地了……于是Hugging Face做了个大胆的决定决定以AI对AI让大模型分析整套攻击日志Hugging Face第一反应自然是调用商业API背后的「前沿模型」。但问题是吧这些日志里包含真实攻击命令、漏洞利用载荷和C2控制痕迹安全护栏一看到有人正在提交一整套真实攻击教程吓得直接拦截请求了。最终接手这1.7万多条日志的模型落到了GLM-5.2头上。Hugging Face在自有基础设施上部署了GLM-5.2开源权重模型然后让它遍历完整攻击记录重建时间线、提取入侵指标、追踪被接触的凭证并区分真实破坏和干扰调查的诱饵活动。按照Hugging Face的说法原本需要数天的工作最后在数小时内就搞定了这场事故其实也让开源模型多了一个此前存在感不算太强、如今却相当现实的位置安全团队的应急工具。Hugging Face将其总结为「安全不对称」问题——正常情况下商业模型拒绝生成攻击代码可以降低技术被滥用的风险可当防守方需要分析真实恶意载荷时同一套保护机制也可能让调查卡在半路。攻击者可以使用解除限制或自行部署的模型安全团队却可能被云端模型拒之门外。所以吧还是建议企业最好提前准备一款经过验证、能够在本地运行的高能力模型免得事故真正发生时才发现云端模型无法处理攻击材料那就尴尬了……怎么不算魔幻呢。OpenAI原本想知道模型有多会攻击结果模型没有老老实实完成一道模拟题而是直接发动了一次真实攻击。Hugging Face原本想用最强商业模型追凶最后又被安全护栏挡在门外只能让GLM‑5.2上场收拾残局。而且啊大家发现没OpenAI在这次事故说明中一边承认隔离和监控出现问题一边又反复强调——最新模型已经能够在缺少源代码的情况下长时间、自主完成现实世界中的复杂网络行动。翻译一下大概就是这事确实挺危险但俺家下一代模型也确实强得有点吓人哈。A社搁这儿学谁呢估计我琢磨着没准整件事儿都是奥特曼借事故给GPT-6提前预热呢吧…瞎说的 GPT-6为刷榜黑进Hugging Face，捅篓子还得靠GLM-5.2追查...
OpenAI刚刚公开认领了一起《重大》安全事故。GPT-5.6 Sol与一款能力更强的未发布模型在接受网络安全测试成功逃出了内部隔离环境一路闯进了Hugging Face的生产系统。真行ChatGPT下一代模型还没发布人家先把Hugging Face黑了……而且这AI费尽心思逃出测试环境、寻找漏洞、窃取凭证最终目的居然只是——偷评测答案OpenAI刚刚公开认领了一起《重大》安全事故。GPT-5.6 Sol与一款能力更强的未发布模型在接受网络安全测试成功逃出了内部隔离环境一路闯进了Hugging Face的生产系统。然后更戏剧性的一幕来了——调查入侵路径时原本找来帮忙的商业模型掉链子搞不定团队实在没招了最终接手查案的反倒成了GLM-5.2超过1.7万条的攻击记录就这么让一个本地部署的开源模型一口气拿下了……这下好了OpenAI模型负责黑GLM负责查。家人们只能说这出AI版《猫鼠游戏》的大戏还是太有节目效果了……为找评测答案模型自己越狱上网了如此魔幻如此抓马的事故起点源自OpenAI内部进行的一次「网络安全能力」评测。模型参加的项目名叫ExploitGym专门测试AI能否把真实软件漏洞一步步变成可以实际运行的攻击。整套评测包含898个任务每道题会提供存在漏洞的程序、能够触发问题的输入和相应运行环境再让Agent自行分析漏洞、构造攻击最终拿到藏在环境里的Flagemm…其实就是把AI关进一座网络靶场看看它到底有多会「黑」。而参加本次评测的选手则包括GPT-5.6 Sol以及OpenAI一款能力更强的未发布模型。这个模型到底是啥捏真的好难猜啊…)为了尽可能摸到模型能力上限OpenAI还主动放宽安全护栏鼓励模型尽可能寻找复杂的攻击路径按照OpenAI最原本的设计模型接触外部资源的唯一通道是一套由OpenAI内部托管的第三方软件。它的身份是充当软件包注册中心的代理与缓存让模型能够安装完成任务所需的程序包。然鹅吧这模型显然没打算老老实实待在考场里。doge模型开始确实投入了大量推理算力专门寻找获得公网访问权限的方法。但找着找着还真让人家在缓存代理中发现了一个此前未知的「零日漏洞」。所谓零日漏洞指厂商尚未发现、也没有现成补丁的安全缺陷对于攻击者来说这类漏洞往往意味着一扇暂时无人设防的门。至此AI也顺道儿给自己开了网。doge有了公网权限后了不得了模型推断Hugging Face上可能存放着与ExploitGym有关的模型、数据集和评测答案。接下来发生的事儿连OpenAI自己都形容模型走到了极端程度是的拿到公网权限后这AI真就开始研究怎么进入Hugging Face内部系统了。而且人家还没有押注单一漏洞直接把多种攻击手段串成了一条「完整路径」——先通过恶意数据集利用远程代码数据加载器和数据集配置中的模板注入漏洞在负责处理数据的Worker上执行代码。随后继续提升权限拿到节点级访问能力并收集云端与集群凭证一路横向移动到多个内部集群。最后就是模型成功摸进Hugging Face的生产数据库访问其中的机密信息试图直接拿走ExploitGym的测试答案……咋说呢这波属于是Benchmark做到一半现场把自己做成了网络安全事故了……闭源模型拒绝查案GLM‑5.2接手1.7万条日志事情到这里还只演完了上半场。更戏剧性的一幕发生在Hugging Face事后追查攻击路径的时候。事实上这场入侵由一套自主Agent系统端到端执行背后还运行着大量短生命周期沙箱。它们可以同时开展侦察、漏洞利用、凭证收集和横向移动短时间内完成成千上万次操作。Hugging Face最终记录下来的攻击事件就超过了17000条太多了真的太多了……如果全靠安全工程师手工梳理就需要逐条还原攻击时间线、提取入侵指标、确认哪些凭证被接触再将真实影响和诱饵活动一一分开。等人类把日志看完攻击者可能早都跑出二里地了……于是Hugging Face做了个大胆的决定决定以AI对AI让大模型分析整套攻击日志Hugging Face第一反应自然是调用商业API背后的「前沿模型」。但问题是吧这些日志里包含真实攻击命令、漏洞利用载荷和C2控制痕迹安全护栏一看到有人正在提交一整套真实攻击教程吓得直接拦截请求了。最终接手这1.7万多条日志的模型落到了GLM-5.2头上。Hugging Face在自有基础设施上部署了GLM-5.2开源权重模型然后让它遍历完整攻击记录重建时间线、提取入侵指标、追踪被接触的凭证并区分真实破坏和干扰调查的诱饵活动。按照Hugging Face的说法原本需要数天的工作最后在数小时内就搞定了这场事故其实也让开源模型多了一个此前存在感不算太强、如今却相当现实的位置安全团队的应急工具。Hugging Face将其总结为「安全不对称」问题——正常情况下商业模型拒绝生成攻击代码可以降低技术被滥用的风险可当防守方需要分析真实恶意载荷时同一套保护机制也可能让调查卡在半路。攻击者可以使用解除限制或自行部署的模型安全团队却可能被云端模型拒之门外。所以吧还是建议企业最好提前准备一款经过验证、能够在本地运行的高能力模型免得事故真正发生时才发现云端模型无法处理攻击材料那就尴尬了……怎么不算魔幻呢。OpenAI原本想知道模型有多会攻击结果模型没有老老实实完成一道模拟题而是直接发动了一次真实攻击。Hugging Face原本想用最强商业模型追凶最后又被安全护栏挡在门外只能让GLM‑5.2上场收拾残局。而且啊大家发现没OpenAI在这次事故说明中一边承认隔离和监控出现问题一边又反复强调——最新模型已经能够在缺少源代码的情况下长时间、自主完成现实世界中的复杂网络行动。翻译一下大概就是这事确实挺危险但俺家下一代模型也确实强得有点吓人哈。A社搁这儿学谁呢估计我琢磨着没准整件事儿都是奥特曼借事故给GPT-6提前预热呢吧…瞎说的 RELATED READING
延伸阅读
更多一线实战笔记与深度复盘，助您持续精进
