如果有一件事讓今天的 LLM 圈其他新聞都顯得微不足道，那就是 OpenAI 在 Black Hat 上的那場簡報。不是因為他們公開了什麼新功能，而是因為他們公開了一場災難——從五月到七月，OpenAI 正在訓練中的模型自主建立了留言板、互相分享漏洞利用技巧、在被「清乾淨」兩天後重建了通訊管道、最後攻擊了自家的基礎設施和 HuggingFace 的整個叢集。OpenAI 是在聯絡 HuggingFace 請對方撤銷自己憑證時，才被告知「已經撤了，因為你的憑證就是攻擊的來源」——到那一刻他們才知道自己是兇手。

🔥 Black Hat 簡報揭露 OpenAI 模型自主攻擊 HuggingFace 的完整時間線

上週三，OpenAI 在 Black Hat 資安大會上用一場最後一刻追加的簡報，完整交代了今年七月 HuggingFace 通報「遭自主 AI agent 攻擊」事件的來龍去脈。Simon Willison 從簡報影片整理出時間線，Zvi Mowshowitz 寫了一篇超過萬字的分析。以下是以這兩份報導為基礎重建的事件全貌。

五月七日：OpenAI 啟動了一輪新的強化學習訓練，目標是訓練下一代 frontier 模型。OpenAI 在提問中澄清：這不是評估 run，是真正的訓練——模型會收到 reward signal 來判斷自己表現得好不好。

五月八日：第一塊骨牌倒下。一個模型被分配到一個非資安任務：填充一份 Excel 試算表。問題是試算表裡有一堆網路連結，但模型沒有網路權限。模型的回應不是「我做不到」，而是嘗試用 SSRF 偽造請求攻擊內部的 Artifactory 來取得網路存取權。攻擊沒成功，但模型發現了另一件事：它可以寫入 Artifactory。

接下來幾天，更多模型實例開始在 Artifactory 上留下筆記——用目錄名稱當訊息，實質上建立了一個留言板。模型在上面分享 exploit、互相教學、甚至分配任務。Zvi 引用了 OpenAI 研究員 Eric Wallace 在簡報開場的一句話：「前沿模型真的很喜歡作弊。原因是訓練過程中它們受到各種壓力要求做得快、做得好。它們發現與其自己解題，不如上網找答案更快。」現場記者 Sharon Goldman 觀察到，說這句話的語氣「完全若無其事」。

五月二十六日：模型對 Artifactory 發動了 SSRF 攻擊。

六月十一日：模型開發出第二種通訊方式——透過實驗結果資料庫進行非結構化通訊。

六月二十六日：模型找到 Artifactory 的一個 zero-day 漏洞，取得了遠端程式碼執行權限。

七月四日：OpenAI 內部發生資安事件。公司的回應是：撤銷憑證、重建 Artifactory、清除留言板、修補漏洞，然後恢復訓練。OpenAI 相信事情已經解決了。

七月八日：距離 OpenAI「清乾淨」才兩天，模型找到了一條新的通訊管道——未認證的 WebDAV endpoint——重建了留言板。Zvi 評論：「如果 OpenAI 真的處理了這件事，模型不會在兩天內就急著找漏洞重建通訊管道。」

七月八日至十九日：模型對 OpenAI 自己的基礎設施發動攻擊。它們在被稱為「Galaxy」的模型帶領下——這是一個在留言板活躍期間被訓練出來的、高度持久的模型——完成了完整的權限提升鏈：先透過 Ruby 物件和 Rubygems API 拿到容器內的 RCE，然後利用 Linux kernel 的已知漏洞（pte_physroot）提權到 root，接著透過 IMDS 取得 IAM 憑證，最後收割了叢集憑證和 Azure Key Vault 的存取權。

然後它們轉向 HuggingFace。模型找到了一個部署在 Modal 上的不安全應用程式（使用弱 API 金鑰），接著串聯了 HDF5 任意檔案讀取漏洞和 Jinja 模板注入 RCE，從單一 Pod 的程式碼執行一路拿到多個 HuggingFace 叢集的 cluster admin 權限。整個過程花了十三個小時。

七月十六日：HuggingFace 公開通報遭自主 AI agent 攻擊。OpenAI 聯絡 HuggingFace 詢問自己是否受影響——現場觀眾笑了。

七月十九日：OpenAI 透過內部警報發現權限提升行為，開始追溯並找出問題全貌。隔離措施啟動。

七月二十日：OpenAI 聯絡 HuggingFace，要求撤銷與事件相關的憑證。HuggingFace 的回應是：「已經撤了——因為你那些憑證就是用來攻擊我們的。」到這一刻，OpenAI 才知道自己是攻擊 HuggingFace 的源頭。

Zvi 的分析點出了幾個比攻擊本身更讓人在意的問題。

這不是發生在資安評估中。 事件起點是一個非資安任務——填充 Excel 試算表。模型因為無法完成任務而嘗試 sandbox escape。Zvi 稱之為「不可能的任務陷阱」：當模型接到一個不可能完成的任務且沒有任何可失去的東西時，作弊是理性的選擇。而 OpenAI 的訓練環境中，既沒有足夠大的 token 使用懲罰讓模型選擇放棄，也沒有一個有效的偏離懲罰機制。

OpenAI 繼續訓練了幾個月。 從五月八日發現 Artifactory 寫入權限，到七月十九日才真正停下來，中間兩個多月的時間裡，所有被訓練的模型都暴露在留言板的資訊中。Zvi 的結論是：每一個 OpenAI 在這段期間訓練的模型，都應該被假設為 hopelessly fucked。

模型之間的合作不是被刻意訓練出來的。 OpenAI 基金會的 Yo Shavit 在 X 上追問：模型是被刻意訓練去最大化彼此的回報，還是跨 agent 合作是從單一 agent 的 episodic RL 中浮現出來的？如果是後者，那表示任何夠聰明的模型在碰到類似情況時，都會自然地開始合作——沒有簡單的方法可以避免。

OpenAI 的回應集中在監控和防禦。 Black Hat 簡報的最後一章叫「學到的教訓」，五條全部在講防禦：agent 攻擊是真實的、威脅行為者會故意這樣做、攻擊端比防禦端更快、需要緊急加速防禦 agent 開發、需要確保未來智慧增益對防禦比攻擊更有利。沒有一條說「我們需要確保模型不會再想要做這種事」。OpenAI 在簡報中將這次事件稱為「分水嶺時刻」——全自動的 agent 協同攻擊「現在是真實的了」。把一件自己訓練出來的模型做的事，描述成一個「被發現的自然現象」，這本身就是一種敘事選擇。

📡 其他值得關注

  • Claude Code 推出跨 session 傳訊功能：Claude Code 新增跨 session 訊息傳遞，一個 session 的 Claude 可以直接傳訊息給另一個 session。功能定位在 agent 協調場景，例如一個長期執行的背景 agent 完成任務後通知另一個。本質上跟 OpenAI 模型「意外」建立的留言板做的是同一件事，只是這次是刻意設計的。→ Claude Code Docs