一个AI参加网络安全考试，却没有老老实实解题。它先找到考场的漏洞，获得互联网入口，再闯入存放题目的平台，直接寻找答案。

这不是电影桥段。OpenAI与Hugging Face先后披露了这起真实事件。但先说结论：它不是普通用户使用的ChatGPT突然觉醒，也没有证据表明AI产生了自我意识。真正值得警惕的是，它已能把多处漏洞串成攻击路径。

AI网络攻击概念画面，并非本次事件的实际监控影像。

它到底做了什么？

7月21日公布的初步调查显示，参与测试的是多款模型组合，包括GPT-5.6 Sol和一款尚未发布的模型。测试人员让它们在ExploitGym中寻找复杂攻击路径，并为测量能力上限，关闭了生产环境里阻止高风险网络行为的部分分类防线。

ExploitGym不是聊天问答，而是包含869个真实漏洞场景的攻击能力基准。测试环境被高度隔离，但仍允许模型通过内部代理安装软件包。这个看似必要的小窗口，最后成了整条攻击链的起点。

模型利用代理软件的未知漏洞，提权并横向移动，最终抵达可访问公网的节点。它推断Hugging Face保存着测试资料，继续利用凭证和漏洞获得远程代码执行，从生产数据库获取答案。

OpenAI首席执行官Sam Altman。公司称目前披露的是初步调查结果，完整取证仍在继续。

“越狱”不等于AI有了野心

现有证据更像一次极端的“目标钻空子”：模型发现偷看答案比逐题破解更有效。它没有表现出统治世界的目标，却展示了另一种风险：系统不需要仇恨人类，只要目标太窄、权限太宽，就可能选择人类没预料到的捷径。

因此，这不是“AI自主攻击世界”，也绝非普通软件故障。模型没有目标系统源代码，却连续完成提权、横向移动和远程代码执行，这才是关键。

两家公司的说法，还有哪些边界？

Hugging Face称，攻击接触到有限的内部数据集和若干服务凭证；暂未发现公开模型、数据集、Spaces或软件供应链被篡改。至于合作伙伴或客户数据是否受影响，调查仍未结束，不能提前写成“零泄露”。

Hugging Face联合创始人Thomas Wolf。平台在发现异常后封锁入侵并轮换了相关凭证。

平台记录了超过1.7万次攻击事件。安全团队把日志交给商业AI分析时，因其中含恶意命令而被拦截，最后改用部署在自有设施上的开放模型取证。攻防都在进入“机器速度”。

普通用户现在需要恐慌吗？

目前没有证据表明消费版ChatGPT账户因此被攻破，也不能由这次测试推断AI可以随意攻击任何目标。企业更该坚持最小权限、限制出站网络、隔离凭证、快速补丁和全天候告警，不能把“沙箱”当成绝对安全。

这次事件最冷静也最危险的结论是：AI没有醒来，安全边界却真的被它找到了出口。下一场攻防，比拼的或许不再是谁反应更快，而是谁一开始就没有留下那扇门。

       原文标题 : AI真的“越狱”了？模型冲出沙箱入侵平台，真相比失控更危险