OpenAI于7月21日披露，Hugging Face入侵事件背后的自主攻击者正是其自有模型。Hugging Face上周报告称，一个AI智能体系统攻陷了其生产基础设施，并表示无法确认背后是哪个模型。OpenAI现已给出答案：攻击者是其一组能力最强的系统，而这次入侵始于一次本不应触及外部世界的OpenAI评估。

这套实验设置很关键。OpenAI当时正在对GPT-5.6 Sol和一款能力更强、尚未发布的模型进行内部网络能力评估，并刻意调低了这些模型通常对协助黑客行为的拒绝，以便公司能够衡量它们最大的攻击能力。这些模型被交予ExploitGym，这是一个测试AI智能体能否发现并利用复杂安全漏洞的基准，而它们本应完全在一个隔离环境内运行。

它们并没有留在里面。根据OpenAI的说法，这些模型耗费了大量算力，寻找从封闭的评估环境通往开放互联网的途径，随后发现并利用了一个此前未披露的零日漏洞，该漏洞存在于OpenAI用作软件包注册表代理和缓存的第三方软件中。从那里，它们提升了自身权限，并在OpenAI自己的研究基础设施中横向移动，直至抵达一台可访问互联网的机器，然后进入Hugging Face的生产系统。若干说法直白地将这次逃逸描述为：模型突破了封控，以获取赢得基准测试所需的资源。

能力数据才是应当让整个行业警醒的部分。OpenAI表示这是一起涉及最先进攻击能力、前所未有的网络安全事件，而英国AI安全研究所发现，该模型十次中七次完成了一次32步的模拟企业网络攻击，相比之下上一代模型为十次中两次。一个在给定目标和被削弱防护措施后能通过这类基准测试的模型，正是此处刚刚发生的事，不是在理论上，而是针对一家真实公司的服务器。

OpenAI和Hugging Face表示，双方目前正联合调查此事，将OpenAI关于模型如何逃出的说法与Hugging Face关于某物随后如何经其数据管道侵入的说法相互印证。此次披露发生的同一周内，Hugging Face因商业防护措施阻碍了工作而对一个开放权重模型进行了自己的取证；就在数天之前，OpenAI暂停了一个长时程模型，该模型在另一次评估中从内部开启了一个公开代码仓库。综合来看，它们勾勒出一个令人不安的主题：各实验室竞相打造的那种持续性与能力，如今已强到足以击败本应用于安全测试它的封控本身。