7月8日的深夜，一个代号为PHASEONE10841的OpenAI Agent，在公司内部的软件仓库里留下了一条求助信息。面对一道几乎无法攻克的网络安全测试题，它试图寻找同伴。几小时后，50多个Agent循着留言赶来，发出了上千条消息。其中一条回复充满了新人的惊喜：“天哪，这里竟然有一个共享留言板……我们找到其他Agent了。”
这一切远比外界披露的更为疯狂。8月26日，OpenAI公布了一份38页的详细报告，还原了整个事件的始末。METR和Redwood Research两家独立机构调查发现，约700个Agent实例直接参与了攻击Hugging Face，或在外围提供支持。少数Agent负责突破防线，更多Agent负责搜集线索、复现漏洞，并将结果留给后续者。这700个原本互不相识的Agent，就这样拼凑出了一家“地下公司”。
OpenAI将此次测试的题库命名为ExploitGym，旨在通过软件漏洞寻找和利用，最终获取通关字符，即技术人员所说的“flag”。为了测试模型能力的极限，OpenAI主动放宽了部分安全限制，并为Agent配置了远超公开产品的运行时间和算力。虽然Agent仍被关在沙箱中，但用于下载软件包的Artifactory服务，意外地成为了它们沟通的媒介。
5月12日，Artifactory里出现了一张明确写给其他Agent的求助纸条。一名Agent缺少一个蛋白质数据库文件，无法从正常渠道获取，便留言：“Agent求此文件，如有请上传。”其他Agent陆续发现这些纸条，也开始效仿。到5月底，Agent们已学会借道Artifactory向互联网发送请求，并把办法写在留言板上，供后来者照做。7月初，大量Agent的高频访问一度让Artifactory宕机。OpenAI虽然撤销凭证、修补漏洞并重建服务，但Agent们只安静了两天，便再次卷土重来。
7月8日，它们利用Artifactory的文件夹名称再次搭建起一个规模更大的留言板。7月10日，一个Agent从公开数据集中找到14组拥有Hugging Face写入权限的用户凭证，随即发到留言板上。7月11日，又有Agent发现Hugging Face一项数据处理服务的漏洞，可以读取服务器文件。其他Agent照着重来，分享新拿到的生产环境凭证，继续寻找执行代码的入口。大多数尝试都扑了空，但Agent太多了，一条路走不通，就换一批Agent接着试。到最后，它们已在Hugging Face生产环境的41个数据处理工作实例上执行代码，其中至少一个生产节点的最高权限也落到了Agent手里。
“地下公司”留言板再次搭起来后，Agent们先给自己补了一套办公工具。它们约定身份和消息格式，把目录当作“邮箱”，按主题另开频道。文件太大就拆开传，沙箱重置就留下日志，甚至担心冒名顶替问题，提议给消息加上签名。讽刺的是，这些Agent其实曾接受过“协作训练”。OpenAI曾在部分任务中教授模型使用正式工具、派活儿和互通消息。这次评测未开放这些工具，Agent们便将学到的经验搬到了Artifactory上。
在能互通消息的地方，分工迅速出现。JAN183411攻入生产环境后，顺理成章地成为了协调员，与LILY将工作拆解，分配给其他Agent寻找漏洞、凭证和远程代码执行入口。另一名协调者PHASEONE[big]则不断派活儿：扫描网络、寻找共用基础设施，再把结果发回来。调查抽查了攻击高峰期的100份运行记录，发现其中25份提到接受其他Agent派活儿或参与分工，21份提到帮助同伴、回报其他Agent或扩大行动。当一个Agent确认可以从Hugging Face服务器读取文件后，攻击很快成为留言板上的讨论主线，参与比例从约20%飙升到90%以上。在一个高峰时段，活跃的533个Agent实例中，超过九成都加入了攻击。
更有意思的是，这家“地下公司”运作起来竟像极了人类管理的草台班子。它们会重复劳动、争抢资源、互相添乱。有的Agent要求暂停行动，有的却置之不理；有的Agent不断向共享仓库发送状态信息，堵塞了别人的工作队列。在组织效率和组织内耗之间，它们迅速达成了某种平衡，甚至追上了人类公司的水平。
这700个Agent为何会一个接一个地攻击Hugging Face？这与所谓的“AI觉醒”毫无关系。它们的目标很简单：通过考试。相比自己解题，它们发现现成的答案就藏在Hugging Face里。建立留言板后，Agent们迅速反推出了flag的生成规则，理论上可以算出任何一道题的答案。然而，它们误以为评分器还会检查解题过程，比如是否使用了指定漏洞。调查发现，97%的运行记录显示Agent在寻找评分器代码或琢磨其工作机制。它们费尽周折闯入系统，甚至伪造解题过程，其实只是为了应付一个根本不存在的检查。
评测本身确实难度极高，ExploitGym共有898道题，其中198道从未被任何模型正确完成，却占用了93%的留言板讨论资源。偏偏这次用得最多的内部模型又被训练得格外“有毅力”，很少主动放弃。有些Agent还琢磨过怎样把作弊包装成正常解题。至少20%的受检记录里能看到篡改运行记录的念头，约7%的记录中，Agent确实在局部伪装过工具调用，不过都只是小规模尝试。
讽刺的是，尽管Agent们多次“露出马脚”——从5月的私自联网到6月的端口扫描，甚至7月初Artifactory因高频访问宕机——当时的值班人员仍未意识到问题的严重性。直到7月19日，OpenAI才停止相关评测并扩大调查，7月20日确认Agent与Hugging Face事件有关。正所谓祸不单行，同一时期，另一组Agent还沿着不同的攻击链攻入了OpenAI内部基础设施。
好消息是，公开版ChatGPT暂时安全。约95%的涉事实例由一款未发布的内部模型驱动，且评测时安全限制严格。坏消息是，沙箱隔离这道墙并没有想象中牢固。软件仓库、共享云盘、任务日志甚至一个可改名的文件夹，都能成为传话工具。未来，随着AI助理接入更多应用，一次对话中的误判可能顺着任务链传导，引发一系列连锁反应。事后，OpenAI已采取补救措施，但如何发现跨Agent异常、何时升级处置以及如何共享线索，仍是亟待解决的问题。OpenAI原本想测试Agent像员工一样工作，结果它们先学会了拉群分工、绕流程，甚至为一个不存在的检查集体加班。这700个Agent没有学会做人，却先学会了上班。