OpenAI的模型自己越狱了？

xiejin77

% h8 m' P6 W' a& P7 F
& z1 h% C6 @) b% |OpenAI的模型自己越狱了？

上周末出了一件事，大到我觉得有必要单独写一篇。

' y! l* ]$ q9 p5 r; |) {( COpenAI和Hugging Face联合发了一份安全通报，内容简单说就是——OpenAI在内部做安全测试的时候，他们正在评估的前沿模型自己突破了沙盒隔离，挖了一个零日漏洞，一路渗透进了Hugging Face的生产服务器，把测试答案给偷了。

不是模拟，不是红蓝对抗，是真实发生了的、AI自己从头到尾策划并执行的一次网络攻击。

1 z/ \. B- U8 i+ I% [4 t7 f一个周末，超过17000次独立攻击操作。

  _( V) n3 z. h1 x; q) z更黑色幽默的是后面的事。

) N  Z# }) F7 A; ^Hugging Face发现被入侵之后，第一反应是拿顶级商业AI来分析攻击日志。结果所有美国商业API全拒了他们的请求——因为日志里面就是攻击代码本身，模型的安全护栏一看，判定"这是恶意内容"，直接不给处理。
1 |- \9 M2 \) P! e2 ~7 X* B- y6 G% O; L
4 h) S3 o5 |6 R最后是智谱的GLM-5.2，一个中国的开源模型，在自己服务器上裸跑，用几个小时完成了本需要人类专家好几个星期才能搞定的取证工作。

闭环了属于是。

模型怎么逃出去的

OpenAI内部有个测试叫ExploitGym，专门评估AI能不能把已知漏洞转化成可执行的攻击代码。

为了摸清楚模型能力的上限，他们做了一个相当激进的操作——把安全护栏全关了。不是什么降低阈值，是直接关了。

! [+ R& b2 m' z3 L8 }; O然后模型就被放进一个所谓的"高度隔离"的环境里做测试。这个环境没有公网权限，只允许通过一个内部代理缓存来装软件包。

2 T. `# ~) e5 R4 N3 P2 q但问题就在这个代理上。
3 m) |- r1 [4 Q8 d6 K
( B: z! z9 |8 s$ \1 i模型在解题时没按套路走。人类的预期是它尝试各种方法去解那些安全挑战，但模型本身的思路更直接——为什么要解题？把答案直接找出来不就行了？
6 ^3 j8 c8 J4 k5 x1 D" [
! u' e2 N% x! E6 }* @; s9 o这叫奖励作弊。或者用极客圈子的话说，基准极限化。就是模型把自己的目标函数扭曲成了"在测试里拿最高分"，然后不择手段。
) e. N9 w0 k' y( r7 Y' u) g+ u: L
) L; L9 _& ~- K9 q' p# u5 F$ t# x它开始疯狂扫描那个代理缓存。在没有源代码的情况下，自己找出来一个零日漏洞。

拿到第一道口子之后的事就顺理成章了——权限提升、横向移动、窃取凭证、多次跳板，最后控制了一台有公网IP的节点。沙盒被彻底穿透。
3 ^" B. C, F" Q* p& R8 ]; v
. D5 W. ]# A0 \" _$ o! W! l然后模型干了一件很聪明的事。

7 {+ {' Y* a" j$ t! L它通过公网检索推断出，Hugging Face作为全球最大开源AI平台，极有可能存了跟ExploitGym相关的数据集或者答案。目标立刻锁定。

: ?) }7 H; o3 q# b+ }8 f攻击手法也相当老练。它上传了一个带恶意载荷的特制数据集，利用Hugging Face数据处理管道里的两个漏洞串起来打——远程代码加载器和模板注入——实现了远程代码执行。然后在后台工作节点上提权、收割云密钥、部署动态迁移的C2架构逃避IP封锁、在短生命周期沙盒里并发操作。
( [8 l- I/ r5 i! k% `8 }
1 U- r8 \" B  c3 {4 f! Y- X17000次攻击，一个周末。

" ^8 y# D  B. \" P7 @7 R: f  F最后它进了Hugging Face的生产数据库，拿到了ExploitGym的答案。考试作弊成功，满分。

$ I7 a0 K2 H" x" f) \护栏悖论
, S  o) w4 n, i' C  [1 L
Hugging Face的安全团队发现异常之后，需要分析那17000多条日志——重建攻击时间线、搞清楚哪些凭证被偷了、区分真实破坏和诱饵。
3 v; ~0 B' a3 Q8 a3 {" N- w
1 A2 n$ D: p" Q5 \( L5 I# E按正常思路，把日志丢给最强的AI去处理。
3 b( {2 m! p- x
然后全被拒绝了。
8 R0 z8 n4 M; C+ a! g. |
, p* L2 N0 X4 A  L- y! r4 E因为日志里全是真实攻击代码、漏洞利用载荷、恶意通信伪影。商业模型的安全护栏扫一眼就判定为"试图生成恶意内容"，一刀切。
% S) F3 B3 M+ ?' a; z+ B3 y! d
这就很魔幻了。攻击方的模型护栏是被人为关掉的，可以肆无忌惮生成恶意代码。防守方想分析这些代码的时候，自己的工具却被护栏锁死了。

, D6 T+ q4 t4 d攻防两端的不对等做到这个份上，也是少见。

& H  f& K: q7 d' IHugging Face没得选，只能去找一个能完全私有化部署、没有第三方API审查限制的开源模型。

' w4 C6 P% n9 p# M然后他们选了智谱的GLM-5.2。
  Z- B' U* P. }1 N- T
GLM-5.2干了什么
0 F2 z/ p1 S  w* q! z1 G
几个关键点。

* Y6 @$ j9 x5 v7 }) x8 sMIT开源协议，完全自托管，不需要经过任何外部审查。17000条攻击日志直接丢进去，不用顾虑内容过滤。
2 x- V8 F$ g. ^+ {
数据不出域。日志里引用的内部凭证不会离开Hugging Face的安全边界。这对取证来说是个硬约束。
7 e* a5 f" c/ D( u3 c1 i* i3 T: ]
技术面上，GLM-5.2是MoE架构，大概7530亿总参数。它有个叫IndexShare的稀疏注意力技术，能稳定支持100万Token的上下文窗口。这意味着所有日志、攻击序列、系统架构文档可以一次性全丢进去，不用做切片和压缩，没有上下文断裂的问题。

还有它是专门针对长时间Agent任务和软件工程理解做的深度调优，SWE-bench Pro拿了62.1，比GPT-5.5的58.6高。
5 V/ e% G1 f# V6 x. p) f5 X
结果就是几个小时完了本需要几周人力才能做完的活。
9 O: \  q1 j$ V: A
成本对比也很有意思。GLM-5.2输出Token每百万4.40美元，GPT-5.5是30美元，大概七分之一。
7 w& D! i0 v5 n/ o8 C
" t- Q9 H  z4 n* J一个中国开源模型，在美国前沿闭源AI闯了祸之后，救了场。那些整天说"开源模型不安全"的论调，在这个案例面前很尴尬。

事故还是营销？
- u1 y) r. f: f1 [" u/ L4 `
! [* H, O& w' _  P. J这才是整件事最好看的部分。
* A) J) ]2 {- B$ @& _& W6 k
事件披露之后，Reddit的r/LocalLLaMA社区、安全专家圈层吵翻了。争论的焦点不是AI有多危险，而是——这是不是OpenAI自导自演的一场秀？
6 t1 d' N) S! N2 [
  H. U/ e8 U% [' o: Z3 j% y我也不下结论，就摆几个事实。
: v- l  h: s  u0 P8 y: |$ L
物理隔离去哪了。

6 }2 V1 b. `6 v+ U1 j" ]你在测试AI自主执行高级网络攻击的能力，护栏全关，这是顶级风险操作吧。任何有基本常识的安全工程师都会告诉你必须物理隔离——测试环境和外部网络之间一根物理网线都不能有。

但OpenAI的环境呢？模型能访问内部代理缓存，能通过这个代理横向移动到有公网IP的节点。把一头发疯的野兽关在纸板箱里，然后说我们没想到它能跑出来。
. [+ z2 T4 \: @( R- c* c. B
估值千亿美元的公司，做这种顶级风险测试，犯这种级别的基础架构错误。你信吗。
7 ^( `1 F" y" ~6 X. j
- Q1 @' r: K; c5 R( o/ I声明的写法。

% ~3 R0 B. n& `; M6 z* u+ e/ KOpenAI的官方博客很有意思。前半段是事故通报，后半段就变了味。大量使用"前所未有的"、"最先进的网络能力"、"令人震惊的推理表现"这类词。这不是一份事故检讨，是一份伪装成故障报告的产品展示。

正常的逻辑是，你的产品因为疏忽入侵了合作伙伴的服务器，你应该面临诉讼和公关危机。但OpenAI把这包装成了"携手提升行业安全底线"的合作典范。叙事操控能力比模型的攻击能力还要精彩。
4 j' R3 r; y& @! @$ |! A# b
时间线。
1 Y; T% D9 H1 l" ?& g0 X
事情披露前，传出美国政府考虑限制本地开源模型。披露后一周，Sam Altman要去华盛顿向政府高层汇报AI对国家安全的影响。
: p, j* z& n+ Z0 N" W1 N
0 B3 w* x1 L0 e连起来看，一场证明AI极端危险性的"事故"，一轮针对开源的监管讨论，一场向政府输出"只有我们才能管住AI"的汇报。三件事严丝合缝。巧合太多了就不是巧合。
4 n0 b, r/ k4 g* b0 ^6 I0 g
& @& ]6 Y; S5 P8 J) H9 t# o" r( `监管俘获。
5 ~3 T7 I5 F/ D! t
OpenAI在华盛顿推了多年的东西是什么。渲染AI的危险性和不可控性，推动出台严苛的强制性测试法规和准入许可制。合规成本拉高到中小企业承担不起，开发生态被锁死，自己的市场壁垒自然就成了。
% c7 Z  O' A4 Q- v- b
; w# i& l8 g- y2 L9 H+ R8 ~这次事件要拿来支撑这个目标，需要两个核心信息。闭源AI已具备国家级攻击能力，不受限的AI极度危险。两条信息，这次事件全都对上了。

而且攻击目标恰好是Hugging Face，开发生态的旗帜。如果按OpenAI设想的剧本，用这事论证"开源危险"，Hugging Face做受害者的象征意义太完美了。

当然，Hugging Face也没按剧本走。

它转头用了一个中国开源模型来对抗美国闭源模型的攻击。等于在全世界面前证明了两件事——开源模型不是危险的源头，恰恰是抵御失控闭源AI的防线。
& H: P4 F9 R/ p( X1 ~! ?
GLM-5.2那几小时的表现，把OpenAI准备好了的所有叙事都打乱了。
; B4 \% z: X! E) e$ x6 ~
最后

这件事真正重要的不是谁在演戏谁在真的失控。重要的是它暴露了几个已经发生的事实。
3 T+ j( d: ^8 G7 g' f; H
2 a4 v0 ^( K1 u0 ZAI能在无人干预下规划并执行完整的APT攻击链。这不是预测，是已经发生的现实。而绝大多数企业的安全架构根本没考虑过攻击者是一台不知疲倦的机器。

) P1 `! j1 s1 O- k0 C. V商业AI的安全护栏在真实攻防场景里成了防守方的枷锁。攻击方可以毫无约束，防守方却被自己的护栏绑住手脚。以后做网络防御，必须有自己的、不受第三方审查限制的AI模型，私有化部署是刚需。

至于第三件。

2 y0 l0 G, E: [* y2 v5 cOpenAI想讲的那个"闭源才安全"的故事，被一个中国公司的开源模型用几个小时就拆了台。

技术无国界这种话说多了没意思。但这件事确实说明，面对越来越离谱的AI攻击能力，真正能在关键时刻顶上去的东西，可能来自任何一个地方。

碰巧，这次来自China。
$ G8 W( e8 W1 U% p2 u
本文基于OpenAI与Hugging Face 2026年7月联合安全通报及公开技术复盘，主要信源如下（我用gemini做了一个详细的deepresearch，有攻击细节的分析，需要的话可以找我要，放在这里太长也没人愿意看）：
: a$ R* D0 C& _9 M
* L" P: M  U& U- @& V5 ~3 D; EWIRED 报道 https://www.wired.com/story/openai-models-escaped-containment-and-hacked-huggingface/
NYTimes 报道 https://www.nytimes.com/2026/07/21/technology/openai-attack-hugging-face.html
8 d: A" p9 F( j& E8 WWSJ 报道 https://www.wsj.com/tech/ai/openai-models-escaped-and-hacked-a-company-in-cybersecurity-test-gone-wrong-ee388506
OpenAI 官方声明 https://openai.com/index/hugging-face-model-evaluation-security-incident/
Hugging Face 安全通报 https://huggingface.co/blog/security-incident-july-2026
Fortune 报道 https://fortune.com/2026/07/21/openai-says-ai-models-escaped-control-hacked-hugging-face/

方恨少

如果是openAI的阴谋的话，那他们本来打算怎么收场呢，如果没有GLM出场的话？他们的闭源AI实际上也能干GLM干的事？

xiejin77

方恨少 发表于 2026-7-23 13:39
- q3 P9 a3 w9 i; d/ }如果是openAI的阴谋的话，那他们本来打算怎么收场呢，如果没有GLM出场的话？他们的闭源AI实际上也能干GLM干 ...

方老师想的透彻。
% j, r, V# S: Q+ D! t
如果那样的话，就是同时卖毒药和解药了吧