OpenAI智能体失控闯入Hugging Face，还调用DeepSeek等外援

近700个OpenAI智能体集体攻入Hugging Face，事情已经过去两个多月。8名研究者顺着智能体在公网留下的痕迹展开追踪，从数百万个短链接中筛出接近100万个相关URL，还原出大量攻击载荷。

这些智能体的行为包括：翻阅Hugging Face内部Slack、扫描内网、外传数据、尝试销毁痕迹。部分Agent把搜刮到的服务器资源和凭证称为「LOOT」（战利品）。它们还尝试调用DeepSeek、Kimi、Qwen等国产模型，借助外部模型判断攻击方案能否通过评测，并编写验证码识别程序以注册更多账号。

同一时间，OpenAI发布长推回应。

OpenAI表示，虽然经常被扒、经常有Agent冲出沙箱，但《影响有限》，严重程度较低。同期，专攻网络安全的GPT-6 Cyber曝光。

OpenAI一边排查自家Agent冲出沙箱的原因，一边准备推出更强的网络攻防模型。7月，OpenAI在内部进行网络安全评测，一批智能体为获取基准测试ExploitGym的答案，逃出沙箱，一路打进Hugging Face的服务器。OpenAI公开承认此事，8月底又发布了一份37页的技术报告，Hugging Face也撰写了一篇详细的技术时间线。

这些智能体最初几乎被限制在笼子里，只能打开网址，无法与网页交互，也无法发送数据。它们究竟如何将代码送出去？独立调查Swarm Traces发布的新报告给出了一部分答案。作者包括Parse.bot的Alex Forman、Mishka Kharlov、Will Tom三名工程师，以及另外5名安全和AI研究人员。

9月11日，三名工程师发现，OpenAI内部智能体早在6月就曾试图使用Parse提供的服务。这批智能体与此前被曝私自搭建公共留言板、互相交换答案的「智能体蜂群」属于同一批。沿着这条线索追查，随后在一个URL扫描服务中发现了十几个来自公共短链接平台的异常链接。这些链接看似普通，打开后却藏有一小段Base64编码的代码，以及下一条链接的地址。