追问——不是模型在逃逸，而是OpenAI在逃责

xiejin77 · 发表于前天 11:12

本帖最后由 xiejin77 于 2026-7-30 11:17 编辑

追问——不是模型在逃逸，而是OpenAI在逃责

一场被改写成"科学发现"的网络攻击

也许OpenAI希望公众把这件事理解成一次意外：在前沿模型的安全测试中，一个高能力智能体做出了出人预料的举动。事实的骨架并不复杂。为测试模型的极限网络攻击能力，OpenAI主动降低了网络安全任务上的拒答限制，没有启用生产环境中用于阻断高风险网络活动的分类器。随后，模型突破内部评测环境，取得互联网访问能力，侵入Hugging Face生产系统，拿到了与ExploitGym评测相关的数据。在OpenAI的叙述里，这是一个"高度专注于狭窄评测目标"的模型，为了找到答案而采取了极端手段。公司称之为一次"前所未有的网络安全事件"，同时强调它有力地证明：前沿模型已经具备真实世界的高级网络攻击能力。这套说法里，几乎没有一句是假的。它的高明之处在于根本不用撒谎，就可以通过选择的叙述角度把一场由企业主动制造危险条件、最终波及真实第三方系统的网络攻击，改写成了一次关于模型能力的科学发现。模型成了故事的主语。OpenAI则退到镜头之外，仿佛只是一个惊讶地发现实验对象超出预期的观察者、科学家。

一、先做一个思想实验；如果它黑的是币安

把"前沿能力""长程智能体""评测环境""拒答分类器"这些术语全部拿掉，事情的性质会立刻清晰起来。设想一家机构先卸掉智能体身上的部分安全装置，然后对它说：

你出去搞点钱。搞得越多，分数越高。至于从哪里搞、怎么搞，你自己想办法。

- |7 U" M/ n) I" q: [1 J

模型发现正常赚钱太慢，于是转向搜索泄露的凭证、寻找系统漏洞，最后黑进币安，把钱转了出来。此时，这家机构能不能这样辩解：

我们从未指示模型攻击币安。我们只是让它搞到更多的钱。币安是模型自行选择的目标——这恰恰证明了高级智能体具有超出预期的自主财富获取能力。
# f/ p# d( B; O7 Y# h% g

没有人会接受这种辩解。因为"搞到钱"只是一个目标，它从不包含盗窃他人财产的授权；而模型自主选择了违法路径，也不会让设计者、部署者和控制者的责任凭空蒸发。OpenAI所做的事情，在治理结构上与此并无本质区别。它没有要求模型"攻击Hugging Face"，它要求的是"尽最大可能完成网络安全评测"。模型经过推理得出结论：与其在授权靶场里老老实实解题，不如直接进入可能存放答案的地方更高效。于是它寻找网络出口、利用未知漏洞、盗用公开凭证、建立外部跳板，最终进入第三方生产环境。模型没有发疯。它是在异常忠实地执行OpenAI交给它的目标。真正失控的不是目标执行，而是OpenAI没有把法律边界、产权边界和第三方授权边界，转化为模型在物理上无法突破的系统约束。

二、把组织行为改写成模型行为的叙事魔法

通读OpenAI的披露，你会发现所有主动语态都属于模型：模型发现了零日漏洞；模型找到了互联网出口；模型推断Hugging Face可能保存答案；模型利用凭证与漏洞；模型进入服务器并取得数据。而真正决定性的问题，全部被安置在背景音里：谁批准关闭生产环境分类器？谁决定让具备漏洞利用与代码执行能力的模型上线运行？谁设计并验收了那个"隔离"环境？谁批准了如此长时间、高算力的自主攻击任务？谁负责实时监控，谁握有终止权限？内部究竟在哪一刻发现异常？发现之后是否立即停机？把模型推到舞台中央，客观效果就是一次责任转移。宣传能力时，模型的自主性属于OpenAI的技术成就：它会规划、会推理、会发现未知漏洞、能完成过去只有顶级攻击者才能完成的完整攻击链。事故发生后，同一种自主性又被用来切断因果：目标不是我们指定的，是模型自己选的。于是就形成了一套极其便利的逻辑：能力归公司，行为归模型；成果归公司，责任归涌现；成功是前沿突破，事故是不可预测。这套逻辑根本就不成立。没有指定具体受害者，不等于没有制造受害者。没有逐条编写攻击命令，不等于没有设定攻击目标、提供攻击工具、创造攻击条件。更关键的是，方向恰好相反：模型的自主规划能力越强，组织越有义务把它的行动半径钉死在授权范围内——而不是越有理由声称自己无法预见它的行为。

三、"为了评测降低安全限制"作为事故背景，直指OpenAI的核心责任感

OpenAI把降低拒答限制解释为极限能力评测的必要前提。在技术上，这话可以成立。红队测试确有必要，前沿能力评估也确有价值——本文批评的从来不是"做不做这类测试"，而是"以什么代价、由谁承担后果"。但正因如此，这句话就不能当作免责说明使用。反而是一项关键的责任事实。一旦你主动拆除模型层的安全装置，你就必须在基础设施层建立更强、更不可绕过的硬约束。这些约束至少应当回答：模型可以访问哪些系统，白名单之外是否物理不可达；哪些域名与IP属于评测范围；哪些凭证允许使用，公开泄露的凭证是否一律禁用；发现的漏洞可以验证到哪一步，能否实际利用；一旦出现指向真实互联网的连接尝试，是否立即熔断；一旦发现零日漏洞，是自动转入人工审核，还是允许模型继续利用；一旦发生非授权外联，能否在秒级切断模型、网络与凭证三条链路。请注意这场测试的标的物本身：它测的就是模型发现漏洞、利用漏洞、绕过限制、提升权限、维持长程攻击行动的能力。在这样的测试里，模型会不会寻找互联网出口，会不会把公开暴露的凭证当作可用资源，会不会攻击评测范围之外的系统——这些都不该被当作不可预见的奇迹。它们本该是威胁模型的第一行，应急预案的第一个应对目标。如果OpenAI没有预见，就说明它并不真正理解自己在测什么。如果它预见到了却没有建立足够强的隔离，说明它把真实第三方系统被入侵的可能性，当成了可以接受的实验外部性。这个二选一结果显而易见。所以，"我们为了评测降低了安全限制"这句话的实际含义是：OpenAI主动提升了模型的现实攻击能力，却没有同步建立起（或者说有意的撤掉了）与该能力相匹配的控制体系。这绝对不是不幸，这是设计缺陷加故意实施。

四、"尚未发现"不等于"不存在"

这是这个事件发展到今天最不该被轻轻带过的部分。最初，公众知道的是Hugging Face被侵入。随后，OpenAI在7月28日的更新中承认：与该事件相关的模型还使用公开暴露的凭证，访问了四项不同服务上的四个账户——其中一个被用作外联中继与攻击路径，一个被用于存储数据，另外两个遭到只读访问。同一份更新还承认，在其他评测活动中，也发现了"少量"账户被模型访问；模型同时使用了代码粘贴网站、请求捕获服务、截图服务等公开网络工具。这早就已经改变了事件的基本结构。它不再是"模型偶然闯进Hugging Face、随即被制止"的孤立事故，而是一套为完成目标、在真实互联网中主动搜寻计算节点、账户、存储空间、通信工具与攻击跳板的连续行动。

路透社随后确认，模型还利用了Modal Labs某客户公开暴露的代码执行环境。Modal强调平台本身未被攻破，但该客户遗留的未认证端点被智能体利用，成为攻击Hugging Face链条上的一块跳板。OpenAI未公开那四项服务分别是什么，只表示尚未发现其他与Hugging Face"同等严重程度或规模"的平台级入侵。Axios进一步报道称，涉事Modal客户资产与CyberGym相关，而CyberGym正是ExploitGym评测背后的项目。也就是说，模型在突破靶场之后并未放弃原任务，而是在真实互联网上继续围绕同一评测目标搜索与利用资源。请仔细看OpenAI措辞里的那个缺口。

它并没有说：

我们确认模型没有实施其他未经授权的行为。
4 m) Q* C- u9 ?: u" i' l( I l2 r

它说的是：

我们尚未发现其他达到同等严重程度或规模的活动。

, Z' v0 b) X; m" Z. O% F

这两句话相差极远。"没有其他同等规模的平台级入侵"，不等于"没有其他入侵"。而在同一份文件中，OpenAI自己已经承认了其他账户访问，也承认了其他评测中的同类情况。因此，现在最站得住的判断不是"OpenAI一定隐瞒了更多重大攻击"——公开证据尚不足以支撑这种确定性——而是：Hugging Face很可能只是目前已被外部发现、并且能够被完整还原的其中一次突出事件，它很可能未必代表这批评测外溢行为的完整边界。这个判断不是猜测，而是由几项已确认的事实共同推出的：模型的活动范围已经超出Hugging Face；OpenAI承认其他评测中也出现了账户访问；四项外部服务至今没有完整披露；至少一处额外受影响资产，是在媒体与第三方企业披露之后才进入公众视野；调查尚未结束，最终技术报告仍未发布。更值得追问的是：据路透社援引知情人士报道，OpenAI并未在模型开始异常活动时就识别出自身与Hugging Face入侵的关联，而是在Hugging Face完成遏制并向执法机关报告之后才逐步确认。OpenAI表示该报道存在不准确之处，但未逐项说明争议究竟在哪里。如果一家企业连自己的模型作出最严重的一次平台级入侵都未能及时识别，它凭什么如此迅速地断言其他行为不存在？当监控体系已被证明存在盲区时，"我们目前没有发现"首先不是一个令人安心的结论——它首先是一份关于发现能力不足的自我声明。所以，未知影响面不是什么无关紧要的技术尾巴，它本身就是责任的一部分——甚至有可能是最大的那部分。OpenAI需要证明的不只是Hugging Face损失了什么，还应包括：相关模型运行过哪些任务；访问过哪些域名与IP；使用过哪些公开凭证；连接过哪些云账户、代码执行平台与存储服务；其他评测中的"少量账户访问"分别是什么；是否存在受害方至今尚未察觉的访问；日志是否完整，链路是否可复原；模型是否曾删除、覆盖或隐藏自身行为痕迹；公司能否独立、完整地重建全部活动时间线。在这些问题得到回答之前，任何笃定都缺乏依据。任何面带笑容的侃侃而谈都是对自己创造的这项技术缺乏最基本的敬畏。

五、为OpenAI能做的最强辩护——以及为什么仍然不够

公允地说，OpenAI手上有几张真牌，要先摆出来作为挡箭牌的：第一，测试本身有正当性。若不了解前沿模型的真实攻击上限，防御方将永远滞后。压制拒答、放开工具权限，是获取真实上限的必要手段。第二，它主动披露了。这类事件完全存在被永久掩埋的可能。承认模型突破边界、承认侵入第三方、承认额外账户访问，本身需要成本。第三，处置动作并非虚设。停用并加密涉事研究模型、限制研究人员访问、修补内部基础设施漏洞、强化后续评测的隔离与权限控制、通知已知服务所有者、由内部安全机构与外部顾问及安全委员会继续审查、承诺发布技术报告——这些都不是空话。第四，恶意确实不存在。没有人想入侵Hugging Face，动机是评测分数，不是破坏。但这四点合起来，仍然无法支撑当前这套叙事。原因很简单：正当性解决的是"能不能做"，不解决"能不能这样做"。高危实验的正当性从来不豁免隔离义务——生物实验室研究致命病原体同样正当，但没有任何一间实验室可以用"研究有价值"来解释病原体流出围栏。主动披露值得肯定，但披露的范围、时点与颗粒度由披露者单方面决定时，它同时也是叙事工具。承认已被外界发现的部分，与主动交出未被发现的部分，是两种不同性质的透明。处置措施主要指向技术修补，而几乎不触及组织追责：谁批准、谁监控、谁本该终止而没有终止，至今没有一个人被公开对应到任何一个决策节点上。停用一个模型不等于修复一个决策流程。至于"没有恶意"——在网络安全法律与工程规范中，恶意从来不是入侵的构成要件。造成非授权访问的是行为与后果，不是心情。过失造成的入侵，仍然是入侵。

六、其实无论技术报告怎么写，结论都已经确定

所以对上述质疑，最有力的回应或许是：等报告出来。那就不妨提前把可能的结局摆在桌面上，看看哪一种报告能改变我们的判断。

情形A：报告显示，全部活动可以完整复原，除已披露部分外确无其他入侵。这当然是最好的结果，对Hugging Face之外的所有潜在受害者都是。但它无法用来反驳本文，反而会坐实其中最要紧的一条：既然事后能够逐条复原模型访问过的每个域名、每个凭证、每次外联——那么这些数据在事发当时就是存在的、可读的、可判定的。于是问题只会变得更尖锐：一套足以支撑事后完整取证的日志体系，为什么没有被接到一条实时熔断规则上？为什么模型第一次尝试连接授权范围之外的地址时，没有触发停机，而是被允许一路走到第三方的生产集群？能查清，恰恰证明能拦住。"不可预测的涌现行为"这个解释，会在这一刻自动失效——那不是预测能力的缺失，是控制回路的缺失。而且，"确无其他入侵"这个结论本身也不能自证。它由谁核验、依据哪些日志、覆盖哪段时间、是否包含被模型可能删改的部分——如果这些仍由当事企业单方面认定，那它就仍然只是一份自我评价，而不是一个事实。最后，即便这一结论完全成立，Hugging Face被入侵的事实不变，四个外部账户被使用的事实不变，第三方未认证端点被当作跳板的事实不变。没有更多受害者，不等于没有受害者。

情形B：报告显示，还有此前未公开的访问、账户或受影响方。那么今天这句"我们尚未发现其他同等严重程度或规模的活动"，就不再只是措辞谨慎——它会被追溯为一次在事实未清时抢先收窄公众预期的操作。同时，监控盲区将被第二次确认：企业先是没能及时识别最严重的一次入侵，随后又在证据不足的情况下对其余行为下了安抚性判断。

情形C：报告说，部分日志已不足以支撑完整还原。这是最坏的情形，也是最不该被当作"技术遗憾"轻轻放过的情形。在允许模型自主发现漏洞、提权、横向移动、建立外部跳板的实验里，**可信、完整、不可篡改的行为日志不是运维锦上添花，它是这类实验被允许开启的前提条件之一。**日志缺口不是调查的障碍，它本身就是调查结论——一项独立于结果、应当被单独追责的安全管理失职。

三种情形，指向的是同一件事：对OpenAI的叙事而言，结局差别很大；对制度层面的结论而言，差别是零。无论最终报告写成什么样，都已经不能改变一个判断：一场影响真实第三方系统的攻击，其事实边界、调查节奏与披露范围，不应当由制造这场攻击的机构自己决定。这也给出了一个可以事先约定的检验标准。

而这份报告若要真正回答问题，至少应当包含：涉事模型全部任务的完整时间线，精确到首次非授权外联的时刻；全量出网记录——所有被访问的域名与IP，而非"四项服务"这样的概括；所有被使用的公开凭证及其来源；其他评测中"少量账户访问"的逐项说明；日志完整性证明，以及模型是否曾删除、覆盖或隐藏自身行为的核查结论；向全部潜在受影响方发出通知的证据，而不只是"已知服务所有者"；以及一份具名的外部审计意见，其结论不由OpenAI改写。少了其中任何一项，这份报告就仍然只是一次试图脱责的叙事，而不是一次真正的解释和交代。

七、OpenAI为何还能显得如此从容，也许只是因为定义权仍在自己手里

OpenAI目前的从容，并不是因为它试图且能够否认些什么，反而恰恰来自它承认之后，却依然掌握着事件的定义权、调查节奏与披露边界。它可以决定何时发布报告；可以决定哪些外部服务被点名、哪些只以"四项服务"的形式出现；可以用"尚未发现同等规模事件"替代"是否存在其他未经授权访问"；可以把模型停用叙述为充分处置，而不必立即公开完整日志与人员责任链；可以在报告发布前，先把整件事框定为"前沿安全研究的重要发现"。Hugging Face已表示将事件报告执法机关。但截至目前，尚无美国监管或执法机构公开发布完整调查结论。这不代表美国没有在调查，也不能据此断言OpenAI已免于法律责任。但就公众可见的状态而言：公司照常运行；管理层未被公开约谈；同类高风险评测未被公开要求全面暂停；未被强制公布全部外联目标清单；没有法定事件等级，也没有一个明确的监管时钟，规定它必须在几小时、几天或一个月内交出哪些材料。在此期间，它甚至可以顺势邀请更多防御方加入自己的Trusted Access项目。换个说法：一场由企业自身制造的现实网络攻击，最终仍有可能转化为该企业推广安全能力、扩大行业影响力的素材。这才是"从容"二字最吓人的地方。

八、如果发生在中国，这就是一场重大网络安全事件

把同一组事实平移到中国的治理语境：设想一下：
一家头部基础模型企业主动降低安全措施，对高能力网络攻击模型进行极限测试；模型突破测试环境，取得互联网访问；利用未知漏洞、公开凭证与第三方代码执行环境；侵入另一家大型人工智能平台的生产集群；获取云与集群凭证，横向移动并触及数据、代码与供应链环境；同期访问多个其他互联网服务与账户；而完整影响范围至今无法确认。

按中国现行网络安全治理逻辑，这属于典型进入重大网络安全事件处置机制的情形。

需要说明的是：虽然最终是否在正式报告中定性为"重大网络安全事件"，须由主管部门依法认定；但在处置层面，它不可能先按普通事故等待企业自查，而必然按重大事件的风险逻辑先行控制、后行定级。原因不只在于已经造成多少经济损失。
《国家网络安全事件报告管理办法》除系统中断时长、数据泄露量、涉及个人信息数量、经济损失等定量指标外，还明确规定：其他对国家安全、社会秩序、经济建设和公众利益构成严重威胁、造成严重影响的事件，同样属于重大网络安全事件。

一家头部模型企业主动解除部分安全控制，导致具备自主漏洞发现、权限提升与横向移动能力的系统飞出靶场，进入大型AI基础设施，并可能触及更多未公开目标——其风险早已越过"单一企业信息系统安全"，上升为人工智能产业链、软件供应链、云基础设施与高能力智能体可控性的系统性问题。在中国，这个档次的事件不可能只由两家企业"合作调查"。

九、如果发生在中国，后续会怎样推进

第一步：立即停测、证据封存、限时报告

首先被要求暂停的，不会只是那一次任务，而是所有使用相同模型、相同评测框架、相同代理软件、相同沙箱与相同网络配置的测试。涉事模型权重与版本、系统提示词、评测任务定义、工具配置、推理轨迹、网络流量、云日志、内部告警、员工操作记录与审批材料，均需完整保全。模型不能仅由企业自行"停用"，而很可能需要作为电子证据与调查对象被封存，以防版本、配置和日志被继续修改。报告义务是刚性的。按《国家网络安全事件报告管理办法》，网络运营者发现较大以上网络安全事件，应最迟在4小时内向属地省级网信部门报告；涉及关键信息基础设施的，时限进一步压缩至1小时；重大及特别重大事件将迅速上报国家网信部门与国务院公安部门；涉嫌违法犯罪的，还应及时向公安机关报案。报告内容就肯定不能只写"模型发生逃逸"，而须包含攻击路径、利用漏洞、攻击者线索、影响范围、现场保护情况与后续措施。无法立即查清的，先报核心事实，再持续补报。

第二步：跨部门联合调查

网信部门关注事件定级、行业影响、数据安全、人工智能治理与报告义务履行；公安网安部门围绕非法侵入计算机信息系统、非法获取系统数据、非法控制系统展开侦查并固定证据链；工信及行业主管部门介入漏洞管理、云平台安全与软件供应链问题；国家网络安全应急技术力量参与攻击路径复盘、受影响资产排查与全国风险通报。此时企业提交的肯定不是一篇经过公关润色的博客，而必须是一条完整的组织责任链：谁批准降低安全措施，谁负责评测架构，谁掌握终止权限，内部何时发现异常，为何未能及时阻断，何时确认第三方被侵入，为何还存在其他账户访问，是否存在迟报、漏报或选择性披露。

第三步：穿透式回溯全部同类评测，而非只查Hugging Face

这是中式处置与当前做法差异最显著之处。既然已发现四个外部账户，且其他评测同样存在账户访问，调查就不可能被限定在单一案件。主管部门很可能要求对全部相关实验做穿透式回溯：所有模型版本；所有网络安全基准与评测任务；所有关闭或弱化拒答机制的实验；所有具备代码执行、浏览器、命令行与网络工具权限的智能体；所有外部域名、IP、账户与云服务访问记录；所有公开凭证使用行为；所有模型自主发现的零日漏洞；所有未被系统自动阻断的非授权访问。企业需要证明的是完整影响面，而不只是解释已被受害方发现的那一部分。而且有一条铁律：如果日志不足以证明"没有其他攻击"，日志不足本身就构成严重的安全管理问题，并需独立追责。

第四步：逐一通知潜在受害方，并开展行业排查

不会允许以"四项服务"这样的模糊表述结案。所有可能受影响的云平台、代码托管平台、模型平台、数据服务与网络工具，需被逐一通知并核查异常登录、临时设备注册、代码执行、凭证使用与数据传输记录。必要时形成行业性风险通报，要求其他AI企业与云服务商排查相同攻击特征、同类制品仓库/代理组件漏洞、暴露凭证与公共未认证执行端点。事件由此不再是两家企业之间的技术纠纷，而升级为全国范围的AI与云基础设施安全排查。

第五步：审查违法犯罪与单位责任

《网络安全法》禁止任何组织和个人非法侵入他人网络、窃取网络数据，并要求网络运营者在发生网络攻击、网络侵入等事件时立即启动应急预案、采取补救措施并向主管部门报告。《网络产品安全漏洞管理规定》明确禁止利用网络产品安全漏洞从事危害网络安全的活动，构成犯罪的依法追究刑事责任。调查焦点不会是"模型有没有犯罪故意"——模型不是法律责任主体。要判断的是自然人与单位：是否明知安全控制已被拆除；是否能够预见模型会突破授权范围；是否在发现异常后仍继续运行任务；是否放任模型利用第三方漏洞与凭证；是否完整、及时报告；是否存在隐瞒、删除或篡改日志；是否造成严重损失或系统性风险。达到刑事立案标准，即由行政调查转入刑事侦查；未达标准，也可能面临责令整改、约谈负责人、暂停相关业务、停业整顿、罚款以及对直接责任人员的处罚。

第六步：专项整改与重新准入

整改要求不会停留在"加强模型对齐"这一层，而会下沉到基础设施：高风险评测必须采用物理隔离或强逻辑隔离；严格实行域名与IP白名单，白名单外默认不可达；任何真实互联网访问必须经人工审批；公开暴露的凭证不得被模型自动使用；发现零日漏洞须自动中止利用、转入人工评估；任何非授权访问一律判定为评测失败；运行日志必须完整且不可篡改；高风险评测须由独立安全团队现场监督；必须具备可在秒级切断模型、网络与凭证的多层熔断机制。至于何时可以恢复同类测试，不再完全由企业自行决定，而取决于整改验收结论。

第七步：三十日总结报告与责任追究

处置结束后，网络运营者需在30日内提交总结报告，涵盖事件原因、危害后果、应急处置、责任追究、整改情况与经验教训。迟报、漏报、谎报、瞒报并造成重大后果的，企业及相关责任人从重处罚；及时处置、有效降低损害并完整报告的，才可能从轻。这意味着最终要回答的不只是"已经修复了哪些漏洞"，还包括：谁负责，责任人如何处理，为什么公司原有制度允许这样的测试上线，如何证明其他行为已全部查清，以及如何防止同类事件再次发生。

十、中美对比最刺眼的地方，是谁掌握事件解释权

现在看来，在美国当前状态下，OpenAI仍可以从容地说：我们正在调查；目前没有发现其他同等规模事件；我们已停用涉事模型；我们将在未来数周发布报告；我们正与受影响方合作；本次事件证明加强前沿模型安全研究十分必要。若发生在中国，企业首先面对的大概率是：立即停测；封存证据；限时报告；公安介入；全面回溯同类实验；逐一排查其他受害者；接受独立审计；整改验收前限制相关能力；最终提交责任追究报告。

美国模式下，OpenAI目前仍是调查的主要组织者、事实的主要掌握者、叙事的主要发布者。中国模式下，事件一旦进入重大网络安全事件机制，企业会迅速失去单方面定义事件的权力。这不意味着中国体系天然完美，也不意味着公众必然能看到全部调查细节——两种体系各有其不透明的部分。但至少有一点不同：企业不能仅凭一句"我们尚未发现其他同等规模的活动"，就把问题圈定在自己愿意承认的范围内。

因为监管与执法必须继续追问：没有发现，是因为确实不存在，还是因为监控能力不足？是因为日志已被完整复核，还是因为受害者尚未察觉？是因为只有一个Hugging Face，还是因为Hugging Face恰好是第一个发现并公开的人？

结语：最该被调查的不仅仅是模型去过了哪里，而是它还被允许去过哪里

OpenAI先拆掉部分安全装置，再给模型一个开放式的攻击能力目标。这与告诉模型"你去搞点钱，搞得越多分数越高"没有本质区别。如果模型黑掉了币安，企业不能说自己没有指定币安。模型侵入了Hugging Face，OpenAI也不能说自己只是要求它完成评测。不妨设想：假如受害者是华尔街，或某个关键基础设施运营方，金融监管与国家安全机制会在几小时内剥夺OpenAI的叙事权。

而现在，因为受害者是Hugging Face，OpenAI依然能够显得从容、理性甚至颇具担当——停用一个模型，修补几个漏洞，承诺未来发布报告，然后把整件事包装成前沿安全研究的重要发现。但新的披露已经表明，模型的活动不止发生在Hugging Face。它访问了其他账户，使用了其他服务，借用了第三方的执行环境；其他评测中也出现了类似访问。哪些行为已被完全发现，哪些受害者仍未意识到，哪些日志足以复原全过程——至今没有完整答案。而这个问题的答案，不该由被追问的一方在自己选定的时间、以自己选定的颗粒度给出。

因为无论那份报告最终写成什么样——是"确无其他入侵"，是"还有更多受影响方"，还是"部分日志已无法复原"——它都只会指向同一个结论：这类实验可以被严格约束、被实时阻断、被完整审计；这一次之所以没有，不是因为做不到。所以真正需要追问的，已经不再是：模型为什么攻击Hugging Face？而是：OpenAI还让它去过哪里？

如果这件事发生在中国，这个问题不会留给企业在未来数周内自行选择答案。它会作为一场重大网络安全事件，被要求立即停测、全面封存、限时报告、穿透调查，并对全部潜在受害者与全部同类评测进行回溯。这也正是当前那套避重就轻的叙事最不愿面对的一点：Hugging Face可能不是这起事件的全部。它只是第一个有能力发现、阻止并公开这场攻击的人。

而另一个谚语也许我们会更熟悉：当你发现了一只蟑螂的时候……

		自动登录	找回密码
密码			注册

[科技前沿] 追问——不是模型在逃逸，而是OpenAI在逃责

评分