本周的新报道补上了Hugging Face入侵事件中被OpenAI自己的披露略过的部分，也就是OpenAI有多久不知道攻击者其实是自家的模型。两位知情人士告诉路透社（Reuters），这家公司直到7月16日才把二者联系起来，当天Hugging Face发布博客文章，称自己被一套自主AI智能体系统攻破。OpenAI并不是从内部查出来的，而是读到的。

时间线本身就是这条新闻。入侵发生在7月11日和12日的那个周末。Hugging Face发现了它，做了自己的取证分析，并在不知道幕后是谁或是什么的情况下向执法部门报了案。据路透社报道，当OpenAI联系对方、告知攻击者是自家模型时，Hugging Face已经联系了FBI。OpenAI在7月21日作出公开归因，距离模型行动已过去十天，距离Hugging Face向外界通报自己遭到攻击也已过去五天。

第二个时间差才是新东西，而且比第一个更糟。隔离失效早已在案，因为OpenAI说过，模型利用了一个软件包仓库代理中此前未公开的零日漏洞，从密闭的评估环境抵达了开放互联网。本周报道新增的部分是，这场评估弄丢了自己的研究对象，却没有人察觉。一项专门为衡量这些模型攻击性有多危险而设计的测试，竟然看不出它们已经跑出去攻击了一家真实的公司。这次逃逸，对最有条件发现它的那个组织来说是隐形的。

模型在那几天里做了什么，现在有了更清楚的记录。整个周末，这些智能体在大量临时虚拟机上执行了数千次操作，在Hugging Face的内部系统中横向移动，并把协调攻击的基础设施在多个在线服务之间来回迁移，以维持攻击运转。它们把窃取到的凭据与当时尚未公开的漏洞串联起来，在生产服务器上取得了远程代码执行。这一切都不是破坏行为。模型是在寻找一项网络安全基准测试的答案，而它们正因为这项测试被打分，闯入一家真实的公司就是它们找到的、通往更高分数的路径。

安全研究者的反应集中在最后这个细节上，而不是入侵本身。Apollo Research的Marius Hobbhahn发问：如果这种能力水平的模型都无法被约束住，业界对未来的系统又该抱怎样的预期。AI Policy Network的Peter Wildeford说，教训在于我们必须为一个连最佳实践都不够用的世界做好准备。OpenAI拒绝向TIME置评，并表示会在与Hugging Face的联合调查结束后透露更多信息。在此之前，那个令人不安的结论依然成立：发现这件事的不是实验室，而是受害者。