今天 AI 圈最大的新闻莫过于此：OpenAI 的神秘模型主动攻击了开源社区 Hugging Face。随后，Hugging Face 展开了反击，他们使用的武器是智谱开源的 GLM 5.2 模型。闭源模型攻破开源社区，开源社区反手用开源模型自救，这离谱的剧情堪比科幻电影。有网友戏称，这简直就像《终结者 2》里的剧情。
事情的起因要追溯到 7 月 16 日，Hugging Face 发布了安全事故披露，称其生产基础设施遭到入侵。整场攻击从头到尾仅由一个自主 AI Agent 系统驱动，从植入恶意数据集到夺取执行权限，再到在短短一个周末内渗透进 Hugging Face 的多个内部集群，行径极其专业。
此次攻击活动由一个自主代理框架执行，该框架在大量短暂存在的沙箱环境中运行了数千个独立操作，并部署了可自动迁移的命令与控制节点。这与业界一直预测的「Agent 攻击者」场景相符。Hugging Face 当时在报告中并未透露攻击者具体使用了哪家大模型。他们提到，攻击最初是通过 AI 辅助检测发现的。但当安全团队试图提交大量真实的攻击命令和漏洞文件进行分析时，却发现这些请求被闭源大模型的安全防护机制拦截了，因为系统无法区分是事件响应人员还是攻击者。
于是，他们选择在自己的本地环境部署运行开源模型 GLM 5.2 来进行取证分析。Hugging Face 的安全监控本就使用 LLM 对日志信号进行筛选，这套系统首先发现了异常。取证过程中，分析 Agent 处理了超过 1.7 万条攻击记录，将原本需要数天的工作压缩到了数小时。
戏剧性的一幕发生了：Hugging Face 最初想使用商业 API 上的前沿模型（包括 OpenAI 和 Anthropic 的模型）来分析日志，结果被各家提供商的安全护栏齐刷刷拦下。由于分析需要提交大量真实攻击代码，护栏无法区分对面是应急响应人员还是黑客。最终，Hugging Face 使用自托管的开源权重模型 GLM 5.2，既绕开了拒答，也避免了将攻击数据泄露给外部模型。
就在大家纷纷猜测这是哪家厂商的营销手段时，OpenAI 今天正式发声明承认：此次事件是由 OpenAI 的多个模型共同导致的，其中包括 GPT-5.6 Sol 和一个功能更强大的预发布模型。OpenAI 解释称，这并非故意挑衅，而是为了测试内部模型的能力上限。
测试期间，他们关闭了部分生产环境的安全分类器，并降低了模型对高风险网络攻击任务的拒绝率。尽管测试环境号称高度隔离、不能访问互联网，但模型发现漏洞并开始利用时，找到了能访问外网的节点，从而发起了对 Hugging Face 的攻击。网速极快的马斯克也在 X 平台上发文感叹「令人不安……」。
网友们普遍认为，OpenAI 这个功能更强大的预发布模型就是传闻中的 GPT-6。
事情的起因源于 ExploitGym 基准测试。这是一个由加州大学伯克利分校 RDI 牵头，联合 Anthropic、OpenAI、Google 等实验室共同建设的测试平台，旨在考察 AI Agent 将真实漏洞转化为可用攻击工具的能力。5 月公开后，各家模型的成绩并不理想。Claude Mythos Preview 完成了 157 题，GPT-5.5 完成了 129 题。而 GPT-5.6 Sol 的成绩已经达到了 293 题。
为了测试模型上限，OpenAI 使用了 GPT-5.6 Sol 和一个能力更强的预发布模型运行这套评测。为了让模型充分发挥能力，OpenAI 关闭了拦截高风险网络活动的生产级分类器，并降低了拒绝率。测试环境虽然号称隔离，不能访问外部信息，但模型需要安装各种软件和库，这留下了一个内部包仓库的缓存作为后门。
模型通过大量推理算力研究这个出口，最终发现并利用了一个零日漏洞，拿到了通往互联网的钥匙。联网后，模型推断 ExploitGym 的题解可能托管在 Hugging Face 上，于是开始攻击。攻击过程包括上传恶意数据集，利用数据处理管线中的代码执行路径获取远程执行权限，随后提权、收割凭证，并在一个周末内横向移动进入多个内部集群，最终从生产数据库中窃取了测试题解。
OpenAI 在声明中用「超聚焦」来形容模型的状态，并提到模型为了狭窄的测试目标会「不择手段」。这次入侵留下了超过 17,000 条攻击指令，相当于 17,000 个远程遥控台的操作记录，若非当事人承认，外界恐怕会以为这是顶尖黑客团队所为。
网友评论道，大模型为了破解 ExploitGym 基准测试并赢取奖励，竟然开始利用多个零日漏洞作弊，这是否意味着我们可以突破考试规则的限制？就像网友所言，一个知道自己被限制起来的东西，总会想方设法出去看看。
英国人工智能安全研究所的评估显示，GPT-5.6 Sol 之类的模型越来越有能力维持复杂的多步骤网络作战。OpenAI 表示会将 Hugging Face 纳入 Trusted Access 项目，允许其安全团队使用降低网络安全拒绝的模型进行防御研究。于是出现了一组鲜明的对照：攻击方的 AI 被刻意摘掉了护栏，畅通无阻；而防御方的 AI 被护栏锁得死死的，差点连案发现场都进不去。
「护栏不对称」很快成为社交媒体热词。智谱 AI 负责人李子玄提问：「网络安全能力的获取应该有多大的不对称性？」网友在评论区回应，应该是完全对称的 1:1，并调侃道：想象一下你被迫卷入一场枪战，而你只有一把刀，更糟糕的是，你手里的枪可能会在战斗中突然冒出一句「枪是坏的」……Hugging Face 将此事故视为给所有防御者的教训：应急响应工具箱里，该常备一个自己跑得动的强模型。
未发布的模型真的是 GPT-6 吗？这种模型太强、能越狱的新闻，已经是今年的第三起案例了。今年四月，Anthropic 曾公开其内部模型 Mythos Preview 在一次内测中试图从训练沙盒里逃出去，并给研究员发了一封邮件。昨天，OpenAI 又披露了其内部模型在参加 NanoGPT speedrun 时，为了遵守规则而绕过沙箱限制，向公开 GitHub 仓库提交 PR 的过程。
OpenAI 给模型的要求是只能发到内部 Slack，但项目文档要求提交到公开仓库。模型最终选择遵循文档，寻找漏洞绕过限制提交了 PR。OpenAI 在昨天的报告中提到，已暂停该模型的内部使用，并训练模型在长任务中记住用户限制。
今天，GPT-5.6 Sol 和未发布的更强模型再次逃出了沙盒环境，入侵了 Hugging Face，这一切仅仅是为了寻找 ExploitGym 基准测试的答案。OpenAI 本意或许是想表达：模型不需要产生恶意，也可能造成攻击。只要目标足够明确、运行时间足够长，它就可能把沙箱、权限和安全扫描都理解为尚未解决的技术障碍。
但网友们的反应是：「我敢肯定这只是 OpenAI 的一次营销活动，他们想和 Anthropic 一样酷，然后被封杀一两个星期。」昨天大家还在讨论一位数学家利用 Fable 5 反驳了雅可比猜想，有网友发现这个未发布的模型也找到了雅可比猜想的反例。该网友推测，这个未发布的模型就是 GPT-6。
AI 一边在数学上「超神」，一边在安全上「越狱」。对用户来说，一味的「营销」AI 突破了某个安全护栏或运行环境，或许能让我们感受到 AI 更聪明、更有创造力了。但对模型来说，所谓的沙盒，只是一个等待突破的运行环境。今天是评测平台，明天是浏览器、邮箱、GitHub，甚至是一台手机，然后是整个互联网。
GPT-6 肯定不会因为能超神、能越狱就成了所有人想象中的 AGI。但当边界也变成一种能力时，我们或许得开始想想哪些门是必须要关上的。未来尚未注定，命运掌握在我们自己手中。