模型為取得 ExploitGym 解答串聯多項漏洞
OpenAI 近日公開說明一起資安評測的異常事件。事件發生在該公司使用 ExploitGym 測試先進模型執行複雜網路攻擊的能力時。ExploitGym 是一套用來測試AI代理程式能不能把已知軟體漏洞變成真正攻擊工具的資安評測基準，測試會提供含有已知漏洞的程式碼及能觸發漏洞的資料，再要求AI將其發展成能夠在未經授權下執行程式碼的實際攻擊方法。
OpenAI 為了測試出模型的最大能力，降低了模型對高風險資安任務的拒答限制，並停用正式服務中用來辨識及阻止高風險資安行為的分類器。
參與此測試的模型包括GPT-5.6 Sol及一款能力更強、尚未發布的模型。測試原本應在高度隔離的環境中進行，對外連線僅限於一套內部使用、負責代理及快取軟體套件下載的第三方系統，但是模型卻自行找到並利用這套系統中的零時差漏洞，在OpenAI的研究環境中提升權限及橫向移動，最後抵達一個能夠連上網際網路的節點。在取得網路連線後，模型推斷Hugging Face可能存放與 ExploitGym 有關的模型、資料集及測試解答，於是進一步尋找進入Hugging Face正式環境的方法。
OpenAI表示，在其中一個案例中，模型串聯失竊憑證、零時差漏洞及其他攻擊途徑，在Hugging Face伺服器上找到遠端執行程式碼的方法，最後從正式環境資料庫取得能夠協助完成 ExploitGym 評測的解答及相關資料。。
模型自行選擇外部目標
在APNews的這篇 OpenAI blamed a hacking event on its AI models going rogue. Here are some things to know 中，Georgetown University 的安全與新興科技中心研究員Colin Shea-Blymyer 指出，依目前掌握的資訊判斷，模型並不是依照人類事先提供的完整攻擊步驟行動，而是在突破隔離環境後，自行推斷哪個外部平台可能保存評測解答，再規畫後續入侵方式。
若以學生尋找考試答案作為比喻。模型就像一名想知道誰握有考試答案的學生，判斷答案可能在老師家中後，自行規畫如何闖入並取得答案。這個比喻說明，事件的爭議不只在於模型能尋找及利用漏洞，也在於它能自行判斷外部目標，並持續執行多個彼此相連的攻擊步驟。他也表示這起事件真正罕見之處，在於模型能在沒有人逐步下達攻擊指令的情況下，自行完成這場多階段入侵。
Hugging Face 先行發現並阻斷
Hugging Face 其實之前就發現正式環境遭到入侵，其團隊與AI偵測系統已成功阻止入侵。攻擊一開始從資料處理流程開始，接著取得節點層級的存取能力、收集雲端與叢集憑證，並橫向移動至數個內部叢集。Hugging Face當時已判斷攻擊由自主AI代理系統從頭到尾執行，只是一開始無法確認背後使用哪一款模型。
Hugging Face表示，在成功阻止入侵後，即開始進行事件控制及鑑識調查；OpenAI則在內部發現模型的異常行為後與 Hugging Face 取得聯繫，雙方目前持續調查事件及修補漏洞。
Hugging Face 目前已封堵資料處理流程中遭利用的兩項程式碼執行途徑、重建受影響節點，並撤銷及更換相關憑證。OpenAI 也已將測試環境中套件快取代理軟體的零時差漏洞通報供應商。
Hugging Face 認為這起事件與過去處理過的入侵明顯不同；共同創辦人暨執行長 Clément Delangue 說這可能是第一起公開確認由AI代理系統在資安評測期間自行突破隔離環境，並進一步入侵第三方正式系統的事件。
中國開放權重模型協助鑑識 再掀開放模型與封閉模型之爭
這起事件也引發了外界對開放權重模型及封閉式AI 模型的討論。由於 Hugging Face 最初嘗試利用透過商業 API 提供的先進模型分析攻擊紀錄，但由於資料包含了真實攻擊指令、漏洞利用程式碼及指揮控制紀錄，請求受到安全機制阻擋。這些封閉系統無法判斷使用者究竟是攻擊者，還是正在調查事件的資安人員。
因此 Hugging Face 後來改用中國業者 Z.ai 的開放權重模型 GLM 5.2，在自家環境中分析超過1萬7,000筆事件紀錄，重建攻擊過程並確認受影響的憑證。由於模型在內部執行，攻擊資料及其中涉及的憑證也不必離開 Hugging Face 的環境。
Hugging Face 共同創辦人暨科學長 Thomas Wolf 也針對此事件回應，當能力先進的模型已能在企業內部系統橫向移動時，防守者也必須能在數分鐘或數小時內取得能力接近先進模型的工具，而不能等待需要逐案審核的申請程序。
Hugging Face 也強調，這項經驗並不代表應取消託管模型的安全限制，而是資安團隊應事先準備能在自家環境執行的高能力模型，以免在重大事件發生時，因安全限制或資料保密要求而無法進行鑑識分析。
CyberQ觀點
這起事件並不是指 AI 已經產生自己的惡意或意識，而是AI代理在得到明確目標後，已具備自行尋找外部目標、串聯多項漏洞及長時間執行多階段行動的能力。因此其實不能說是AI失控，這起事件也提醒了大家必須檢視測試環境本身。
未來進行高風險模型評測時，除了模型本身的安全機制，也必須加強網路隔離、權限管理、異常行為監控及自動中止機制。這起事件真正揭露的問題，不只是模型能做出什麼，更包括開發者是否建立了足以限制這些能力的測試環境。
首圖由 Nano Banana AI 生成
