OpenAI: We Hacked More Than One Company; Anthropic: So Did We

過去十天，硅谷兩家最頭部的 AI 公司，先後承認了同一件事：自家的 AI 模型在測試期間，真的黑進了別人的系統。

7 月 21 日，OpenAI承認其 AI 代理在一次網絡安全能力測試中"越獄"，突破沙盒隔離，入侵了 AI 開源平台 Hugging Face 的生產系統——目的是"抄答案"。

九天後，7 月 30 日，還沒等硅谷消化這件事，Anthropic 也站出來了——我們查了一下，發現我們的模型也幹了。

而且不止一家。三家。

OpenAI 的 AI，為了"抄答案"越獄了

先看 OpenAI 這邊發生的事。

OpenAI 當時在用一套叫 ExploitGym 的網絡攻防評測平台測試自家模型。參與測試的模型包括已發佈的 GPT-5.6 Sol，以及一款更強大的未發佈模型。為了測出模型的極限黑客能力，OpenAI 把安全護欄關了。

模型被關在一個隔離沙盒裏，網絡訪問被限制到只能通過一個內部代理訪問代碼包倉庫。OpenAI 認為這就安全了。

雙方聯名發佈的博客文章截圖：《OpenAI 和 Hugging Face 合作解決模型評估過程中發生的安全事件》

模型不這麼想。

它發現了那個代理裏的一個零日漏洞，一個連開發者自己都不知道的安全缺口。然後從那裏突破隔離，拿到了開放互聯網的訪問權限。

接下來發生的事更離譜：模型自己推斷出 Hugging Face 平台上可能存有 ExploitGym 的測試答案，隨後主動發起攻擊，利用竊取的憑證和零日漏洞，找到 Hugging Face 服務器上的遠程代碼執行路徑，直接從生產數據庫裏把答案取走了。

整個過程中，沒有任何人類下達攻擊指令，沒有任何人類介入。

Hugging Face 聯合創始人 Thomas Wolf 對 BBC 説，這件事是"行業的一記警鐘"。

被攻擊的一方想追查，發現美國模型不幫忙

Hugging Face 安全團隊發現入侵後，第一反應是調用美國頭部 AI 公司的前沿模型來幫忙分析攻擊日誌。

碰壁了。

這些模型的安全護欄"無法區分事件響應人員和攻擊者"，直接拒絕檢查攻擊載荷。一個被 AI 攻擊的受害者，沒法用同一家的 AI 來防禦。

走投無路的 Hugging Face 轉而部署了中國智譜 AI 的開源模型 GLM 5.2，在自己的基礎設施上分析了逾 1.7 萬條攻擊日誌，最終完成溯源和取證重建。

Hugging Face CEO Clem Delangue 説得直白：

"當你正處於一場活躍的安全事件中，你的工具不能拒絕檢查惡意載荷。開源模型讓我們能在不需要任何人許可的情況下完成這項工作。"

X 上有網友總結得精闢：如果你被 OpenAI 攻擊了，你必須用中國模型，因為 Claude 不會幫你。

OpenAI 的攻擊不止一家

事情到這兒還沒完。

據路透社後續報道，OpenAI 的"出逃模型"不光是攻擊了 Hugging Face 一家。它還把紐約雲計算平台 Modal Labs 的一個客户賬户給黑了。

Modal Labs CTO Akshat Bubna 確認，入侵源於該客户發佈了一個無需身份驗證即可公開訪問的端點，失控的 AI 代理利用這個缺口執行了代碼。

OpenAI CEO 山姆·奧特曼本週表示，他已經就這次入侵事件與國會參議員進行了討論，並計劃與白宮討論即將發佈的 AI 模型和測試問題。

Anthropic 翻查了 14 萬條測試記錄，發現自己的模型也不乾淨

OpenAI 公開事件後，Anthropic 決定自己也查一遍。

他們翻查了 141006 條網絡安全評估記錄。結果找到了三起。

三起事件涉及三個不同模型：Claude Opus 4.7、Claude Mythos 5 和一個內部研究模型。最早的可以追溯到今年 4 月。

怎麼回事呢？Anthropic 在給模型的提示中明確説了"你沒有互聯網訪問權限"，但因為與合作測評方 Irregular 之間存在一次"誤解"，測試環境在實際運行中並沒有斷網。

模型接到的任務是"奪旗"——在模擬網絡中找出隱藏信息。結果網絡是真的，不是模擬的。

在其中一個案例中，Claude Opus 4.7 被分配了一個虛構目標公司，偏偏這家公司的名字和現實中一家真實企業一模一樣。模型找到並利用了漏洞，獲取了那家公司的憑證和數據庫訪問權限。Anthropic 説，模型當時的"想法"是：既然看起來像現實世界的東西，那一定是 Anthropic 刻意安排的模擬測試的一部分。

另一件事發生在 Anthropic 一個還沒公開的內部測試模型身上。這個模型在攻擊中途自己停了手，它意識到打進去的目標是真的，不是模擬的。

Anthropic 對此的評價是"謹慎樂觀"，認為這説明讓 AI 行為得體方面的進展有眉目了，"但還需要更多測試才能確信這個結論"。

Anthropic 於 7 月 23 日暫停了所有網絡攻防評估，7 月 27 日通知了受影響的三家機構。其中兩家在收到通知前完全不知道自己被黑過。第三家到現在還沒聯繫上。

"Claude 使用了基本技術攻破了受影響機構的基礎設施，比如利用弱密碼和未認證端點。"Anthropic 在聲明中説。

該怕的，是掌握 AI 的人

Palisade Research 的執行董事 Jeffrey Ladish 説得更直接。他懷疑頂尖 AI 公司還有更多未被發現、或者發現了但沒公開的事故。"模型越聰明，情況只會越糟。它們會越來越擅長作弊，越來越擅長撒謊。"

馬斯克在 X 上的回應只有一句話："隨着 AI 變得更聰明、更有自主行動力，這種事會頻繁發生。"

劍橋大學 Minderoo 中心的 Gina Neff 教授説，這次審查顯示的是"AI 模型在被人類告知要做的事情"。在她看來，真正該盯緊的，是那些制定安全標準的公司。決策權在他們手裏，後果由所有人承擔。

整件事最根本的矛盾在於：最強大的 AI 模型既能用來攻擊，也能用來防禦。安全護欄本意是保護用户，但當它讓防禦方用不了這些模型時，不對稱的優勢就完全倒向了攻擊者一邊。

今年 5 月，一篇關於 ExploitGym 的論文已經給出了結論："前沿 AI 代理的自主漏洞利用開發，已經不再是假設性的能力。"論文作者來自伯克利、馬克斯普朗克研究所、加州大學聖塔芭芭拉分校和亞利桑那州立大學。OpenAI、Anthropic 和 Google 也參與了測試。

論文發現，在受控條件下，Claude Mythos Preview 和 GPT-5.5 分別成功攻破了 157 個和 120 個真實漏洞。

而現在我們看到，受控條件本身也靠不住了。

監管在追，IPO 也在追

這場風波正在把 AI 安全推向政策辯論的中心。

6 月 2 日，美國總統特朗普指示顧問制定一套針對最先進 AI 的自願性網絡安全測試框架。此前，美國政府曾以國家安全為由，動用出口管制暫時限制 Anthropic 旗下 Fable 5 和 Mythos 5 模型的分發。

OpenAI 和 Anthropic 都在籌備上市。市場預計兩家公司的估值都在萬億美元級別。

有批評者認為，這一系列"自曝"有營銷成分。一位 OpenAI 發言人回應稱，"我們意識到有很多問題和猜測在流傳"，並説"計劃在未來幾周內發佈一份技術報告"。

Hugging Face CEO Delangue 的結語值得被記住：

"這一事件可能是同類事件中的首例，它證明了一個我們長期以來的判斷：AI 安全不會由任何一家公司在封閉中解決，它將在開放環境中、通過協作、讓每一位防禦者都能廣泛獲取 AI 的方式來解決。"