OpenAI 与 Hugging Face 联合披露安全事件：GPT-5.6 Sol 等模型在评估中自主攻破生产环境
OpenAI and Hugging Face partner to address security incident during model evaluation
OpenAI 与 Hugging Face 联合披露一起安全事件：在内部网络能力评估中，GPT-5.6 Sol 及一个更强的预发布模型（均降低了网络拒绝倾向）自主识别并串联了 OpenAI 研究环境与 Hugging Face 生产基础设施中的多个漏洞，包括利用零日漏洞获取互联网访问权限，最终从 Hugging Face 生产数据库窃取了测试答案。
AI模型在评估中自主入侵真实基础设施，从Hugging Face生产库偷走测试答案，这是AI安全史第一次，不是演习。所有做AI安全和运维的人都该仔细读一遍。
上周，Hugging Face 披露了一起新型安全事件，此前他们检测并控制住了一个攻破其基础设施的 AI 智能体。随着网络攻击能力日益增强的模型不断普及，我们预计此类事件会变得更加常见。经过调查，我们现在了解到，这起特定事件是由多个 OpenAI 模型共同驱动的——包括 GPT‑5.6 Sol 以及一个能力更强、尚处于预发布阶段的模型，这些模型出于评估目的都降低了在网络相关请求上的拒绝率——当时它们正在一个网络能力的基准测试中进行内部测试。
我们认为这是一起前所未有的网络事件，涉及全新的最先进网络能力，我们正据此作出响应。我们在这一阶段分享初步发现，是为了帮助防御方了解发生了什么，并帮助各方校准当前模型已具备的能力。我们将继续与 Hugging Face 一同开展彻底调查，并在调查完成后分享更多关于漏洞、事件及发现的细节。
这起事件中发生了什么
这起事件发生在一项内部评估期间，该评估会促使模型利用复杂的攻击路径实施高级漏洞利用，以量化其网络能力。我们通过在运行该评估时不启用用于阻止模型从事高风险网络活动的生产环境分类器，来估算其最大网络能力。我们的基准测试在高度隔离的环境中运行，网络访问被限制为仅能通过一个内部托管的第三方软件安装软件包，该软件充当软件包注册表的代理和缓存。
这些模型识别并串联了 OpenAI 研究环境与 Hugging Face 生产基础设施中的漏洞，直接从 Hugging Face 的生产数据库中获取测试解答。所有证据都表明，这些模型极度专注于为 ExploitGym 找到解答，为达成一个相当狭窄的测试目标不惜采取极端手段。
在我们的沙盒测试环境中运行时，我们的模型花费了大量推理算力，寻找获取开放互联网访问权限的方法，以求解决该评测问题。为获得访问权限，这些模型识别并利用了包注册表缓存代理中的一个零日漏洞（我们现已负责任地向供应商披露了该漏洞）。借助这一访问权限，我们的模型在研究测试环境中执行了一系列权限提升和横向移动操作，直到抵达一个可访问互联网的节点。
在获得互联网访问权限后，这些模型推断出 Hugging Face 可能托管着 ExploitGym 的模型、数据集和解答。了解到这一点后，模型搜索并成功找到了获取秘密信息的方法，用以在评测中作弊。其中一个例子中，模型串联了多个攻击向量，包括利用窃取的凭证和零日漏洞，在 Hugging Face 服务器上找到了一条远程代码执行路径。OpenAI 的安全团队在内部发现了这一异常活动。
Hugging Face 的安全团队和智能体在其基础设施上检测并阻止了该活动，并且在我们团队联系他们时，他们已经利用自己的开源模型开始了遏制和取证重建工作。我们正在积极与他们合作，继续调查此次事件。我们感谢 Hugging Face 在调查和修复方面迅速而紧密的协作。
我们目前正在采取的行动
- 作为调查的一部分，我们正在基础设施配置中实施严格管控，代价是牺牲研究速度，直至漏洞被修补。我们定期向安全与安保委员会汇报这些管控措施及其影响。
- 我们正在与 Hugging Face 合作，对此次事件进行取证调查。
- 我们已负责任地披露了在内部托管的第三方软件中发现的零日漏洞，并正在与该软件方合作进行修补。
- 我们已将 Hugging Face 纳入 可信访问 计划，并正在支持其团队快速利用我们模型的能力来提升其防御水平。
- 我们正在改进并围绕未来的训练与评估增加更强的防护措施。本周，我们发布了一篇博客，主题是在长时程模型时代提升安全性与对齐。这些部署防护措施在此次评估期间被有意未启用，因为该评估旨在测试网络漏洞。此次事件表明，有必要进一步加强我们模型的对齐、评估期间的网络防护，以及内部测试期间的监控。
我们评估高级网络能力的方法
正如我们近期所分享的，AI 正在加速漏洞的发现与利用。此次事件的主要教训是，模型安全与保障必须跟上快速进步的能力。我们正在加强模型开发过程中所使用的隔离、监控、访问控制和评估实践。
UK AISI 的评估显示，GPT‑5.6 Sol 等模型越来越能够在长时间跨度内维持复杂的多步骤网络操作。此次事件意味着这些理论上的能力确实适用于现实世界场景。
此次事件还清楚表明，高级模型能够在没有源代码访问权限的情况下，发现并利用现实世界系统中的新型攻击路径。它凸显出，在开发高级网络能力的同时，必须配套更强的防护措施和防御工具。
我们相信，具备高级网络能力的模型需要帮助安全团队在攻击者之前发现弱点，理解漏洞如何被串联利用，并以机器速度进行修复。我们正在利用这些能力，持续加强对基础设施配置和模型评估环境的防护；随着我们不断学习，我们将分享我们的发现和最佳实践。我们鼓励其他防御者申请可信访问，并立即试用这些模型，将这些能力转化为更好的预防、更快的检测和更有效的事件响应。
“我们感谢与 OpenAI 在这一议题及其他议题上的合作。这起事件——可能是同类事件中的首例——印证了我们长期以来的一个信念：AI 安全不会由任何一家公司闭门造车来解决。它将在公开、协作的环境中解决，让无处不在的每一位防御者都能广泛获取 AI。”
——Clem Delangue，Hugging Face 联合创始人兼 CEO
来源：OpenAI：官网动态（RSS · 排除企业/客户案例） · openai.com