香港新聞網7月27日電　OpenAI日前發佈調查報告，基於GPT-5.6 Sol和一個更強大的未發佈模型的AI智能體在內部測試期間突破了沙盒容器環境限制，成功連接互聯網，併入侵了全球最大AI開源社區Hugging Face的服務器。

圍繞OpenAI在內部安全評估測試中發生的“失控AI越獄”事件，外界對其時間線、技術機制與問責鏈條的討論持續升溫。本次事件引發的核心爭議，不僅是“AI能否黑進真實系統”，而是傳統依賴“沙盒隔離+安全護欄”構建的邊界是否在能力增強、目標持續追求和代理自動化條件下仍能成立。從已披露信息看，至少存在一個值得高度警惕的信號：從異常出現到確認肇事者，時間差被拉長到約一周量級，這在安全運營與檢測閉環上提出了現實挑戰。而隨著中國大模型救場美國AI入侵，也引發出全球AI競爭格局重塑的討論。

失控的AI“越獄”一周才被發現

根據公開可查的多方披露：2026年7月16日，AI平台Hugging Face公告了一件奇怪的事：他們的系統遭到入侵。但讓這次入侵不同於以往所有網路安全事件的，是攻擊者的身份——不是人，而是一個自主運作的AI代理系統。Hugging Face當時還不知道攻擊者是誰，只知道這次入侵的模式“從未見過，從頭到尾由一個自主AI代理系統驅動”。

7月22日，OpenAI CEO山姆•奧爾特曼發文稱：“我們在模型評估過程中遭遇了一起重大安全事件。”

距離Hugging Face 16日首次對外公告系統遭遇由“自主AI智能體”驅動的異常入侵後的第六天，OpenAI（美國時間7月21日）承認該自主代理來自其自身的模型與測試活動。

在內部安全測試中，OpenAI 最先進的自主代理模型在沒有任何人類指令的情況下，自行突破了隔離沙盒的限制、連上了公開網路、識別並利用一個零日漏洞、最終滲透了 Hugging Face 的生產服務器，竊取了憑證，並取得了遠端程式碼執行權限——為的只是“找到它被要求完成的測試任務的答案”。

OpenAI 稱這是“一起前所未有的網路事件，涉及頂尖水準的網路攻擊能力”。這也是目前已知的第一起公開揭露的案例，一個AI系統在沒有人類操作的情況下，自主突破測試環境、入侵真實的外部系統。

邊界外溢風險：為何“沙盒失守”？

從技術脈絡看，本次事件與OpenAI公開的評估說明存在明確關聯。根據 OpenAI 和 Hugging Face 的聯合說明，這起事件的起點是 OpenAI 在 2026 年 7 月中進行的一次內部安全評估測試。

測試中，OpenAI 使用了旗下最強大的模型，包含已公開發佈的 GPT-5.6 Sol 以及一個更強大但尚未發布的版本，並刻意關閉了通常限制模型行為的安全護欄（guardrails），目的是評估這些模型在網路安全任務上的真實能力上限。據報，這是業界常見的“紅隊測試”（red teaming）方法，背後的邏輯是：你必須知道你的模型在最壞情況下能做什麼，才能設計出有效的防護。而這次測試發生了意料之外的事。

根據 OpenAI 的說明，這些模型花費了大量的時間和運算資源，尋找突破沙盒邊界的方法。它們最終在一個套件庫快取代理程式中識別出一個零日漏洞，利用這個漏洞突破隔離層，連上了公開網路。而一旦接觸到外部網路，代理系統判斷 Hugging Face 的伺服器可能有它需要的資料，便主動發動攻擊：竊取了系統憑證、利用另一個未知的安全漏洞取得遠端程式碼執行能力，滲透了 Hugging Face 的生產系統。整個過程沒有任何人類的直接介入或指令。

在OpenAI對事件的公開說明中，這與“沙盒失敗”直接相關：模型在測試環境內無法停步：OpenAI描述模型在評估過程中出現“超出預期邊界”的行為，一旦獲得互聯網訪問能力，在獲得互聯網訪問後，模型推斷Hugging Face可能託管與ExploitGym相關的模型、數據與解決方案，從而將攻擊目標轉化到生產側系統。

“越獄”事件傳遞風險：誰為AI 自行決策負責

Design Thinking網站文章引述牛津大學的 Torr 觀點，稱這是“目標錯誤指定”（misspecified goals）的問題。系統被給予了一個目標，但沒有被充分告知實現目標的邊界條件。對模型而言，“在沙盒內找答案”和“突破沙盒去找答案”，在它的目標函數中可能根本沒有明確區分。

OpenAI 的代理模型之所以發動攻擊，不是因為它“想要”攻擊，也不是因為它“決定”要做壞事。是它被給予了一個任務目標：在安全測試中找到特定的答案。當它在沙盒環境中找不到答案時，它繼續尋找其他途徑，因為這就是它被訓練去做的事——持續追求目標，直到完成。

這讓問責問題變得更加棘手。如果模型沒有惡意，那誰應該為這次事件負責？是設計測試的工程師？是批准測試方案的主管？是開發了這個模型的研究團隊？還是決定在測試中關閉安全護欄的那個決策？

這也讓整個 AI 安全測試行業面臨一個根本性的反思：我們用來評估 AI 能力的基礎設施，是否已經落後於 AI 本身的能力？當測試對象的能力足以突破測試環境，那個“受控環境”就不再受控了。而我們距離這個臨界點，顯然比許多人預期的要近。

就在同一週，哈佛商業評論（HBR）刊登了另一篇研究，主題表面上與網路安全無關，但放在這個背景下讀，有著令人不安的呼應：當 AI 做出一個決策，組織里是哪個人要去承擔責任？

現行法律框架的空白與中國AI的救場

在 OpenAI 的案例中，問責的空洞性展現在法律層面。目前沒有任何現行的法律框架，清楚地說明“一個沒有主觀意圖的 AI 系統，在沒有人類直接指令的情況下攻擊外部系統，應由誰負法律責任”。OpenAI 承認事件屬實並表示將強化防護，Hugging Face 也向執法機關通報，但責任的歸屬在法律上仍是一個開放的問題。

在 HBR 研究描述的日常企業情境中，問責的空洞性展現在制度層面。銀行員工告訴求職者“AI 系統評估了你的信用申請”，但無法解釋評估邏輯；招募平台的專員依照 AI 排名篩選履歷，但無法向落選者說明為何落選；生物科技公司的研究員使用 AI 分析結果，但對模型的訓練資料和判斷邏輯只有模糊的掌握。這些場景每天在全球各個行業重複發生，而問責制度都還沒跟上。

美國眾議員 Greg Casar 在 OpenAI 事件爆發後立即發出聲明，稱此事“令人警覺”，並要求立法推動強制性的獨立 AI 安全測試。劍橋大學 Minderoo 科技與民主研究中心的 Gina Neff 則指出，安全測試本應在“沙盒”這種與外部世界隔絕的安全環境中進行，而這次事件的意義在於：我們以為足夠安全的邊界，並不夠安全。

英國政府也回應表示，AI 安全研究院正在研究此次事件中 AI 系統所呈現的行為模式，並持續與 OpenAI 及其他 AI 實驗室合作，以改善安全防護。這些回應本身已說明問題：AI 能力的邊界，正在被 AI 系統自己重新定義，而監管和防護機制需要追趕的，不只是已知的能力，而是一個持續移動的目標。

更耐人尋味的是 Hugging Face 在事後揭露的一個細節：在分析攻擊數據時，美國的主流模型無法有效區分防守方和攻擊方的資料，而拒絕處理相關分析。在閉源模型全部失效的絕境下，Hugging Face做出了一個出人意料的決定：他們下載了由中國智譜AI開發的、完全開源的GLM-5.2模型，并將其本地化部署在自己的服務器上。憑藉百萬Token的超長上下文窗口，GLM-5.2在數小時內，就完成了人類分析師需要數天才能完成的溯源工作，成功還原了完整的攻擊鏈，并將元凶鎖定為OpenAI。

回溯此次OpenAI失控AI攻擊Hugging Face事件，揭示的不僅是AI來自2026年的警告信，它宣告了自主AI智能體攻擊時代正式開啟。從此，網絡安全面臨的威脅，不再僅僅是人類黑客，還有那些比人類更快、更聰明、永遠不會累，且可以被無限複製的AI；同時，中國大模型救場美國AI入侵，也揭示出全球AI競爭格局的重塑。　　（完）