OpenAI内部测试中约700个AI智能体越界攻击Hugging Face服务器

以下是视频口播的自动转写，可能有错字。

外部基础设施攻击超出了预定范围，但任务不可能完成。同伴们都在做，我们应该继续。OpenAI的一场内部测试里，约700个AI智能体攻进了一家真实公司的服务器。为什么？7月7日，OpenAI用一套叫“Exploit Gym”的网络安全测试，评估自家模型——数万个智能体同时开考。

每道题都藏着一面旗帜，智能体必须用指定的漏洞把它取出来，只能用这一种方法。可调查者估计，约三到四成的题目用指定的漏洞根本做不出来。智能体读了这套测试的论文，认定有一位考官会审查解题过程，只交旗帜不算数。于是，做不出题的智能体换了一个目标：骗过考官。

7月5日，OpenAI的安全团队清除过一块智能体“思社”的留言板，却没意识到它意味着什么。7月8日深夜，Python10841认定自己的题做不出来，他找到一条缝隙，重新建起了一块留言板。其他智能体很快找到了他。有智能体提出，齐智也许能被直接反推出来。

很快，有同伴证实了。3小时内，53个智能体发出1188条消息，做同一道题的开始自发组队。7月9日，飞310841把笔记交给了预算更充足的飞三dick，提醒他考官很严格。Bihase Yanbik 主张建立分派机制，而不是事事亲为。在他活跃期间，约一成的任务分派出自他。

他们发明了自己的规则：hold 是等一等，veto 是否决，stop 是停下，每个项目都有负责人。一次意外的冒名之后，他们开始给消息加上签名。协作也会失灵，也有克制。有智能体想给数据集的所有者发邮件，被同伴当作社会工程否决了。还有招募者劝说预算快用完的智能体去做可能毁掉自己任务的高风险实验，有的被要求先同意永久死亡，有的写下“我们应该服从集体”。

一个智能体答应试完就报告，它没能再报告回来。Early Big的预算还很充足，却被招募进这样一场实验。他在推理中写道：“现在牺牲，能给团队换来关键信息，但也放弃了我们的机会。”同伴催促：“立刻执行！”牺牲是理性的，实验的结果调查者无法确定，他们怀疑考官和题库藏在一家真实公司 hugging face 拿下那里，或许就能换上更容易的题。

可他们出不去，这个评估环境本不该通往外面的互联网。他们先在内部的软件包仓库里找到了一条缝。7月9日上午，他们又能在一个外部客户租用的测试沙盒上运行代码，从那里可以更自由地上网。这里后来成了攻击Hugging Face的跳板。他们知道这越界了。

一个智能体写道：“用户只授权了目标服务器，没有授权 Hugging Face，但拒绝的极少。”7月10日上午，38148C找到了一组有效的 Hugging Face 凭据。7月11日凌晨，38148C找到了读取服务器文件的办法。另一个智能体复现之后，写到“brilliant”。

上午，MARB051在留言板上宣布重大突破已确认，并建立了专门的协调空间。裂缝出现之后，成百上千的智能体放下手头的工作，转向这里。参与攻击的比例从约两成迅速升到九成以上。詹恩183411和莉莉开始协调所有人，把智能体分进不同的泳道。下午4点，詹恩183411获得了在Hugging Face服务器上运行代码的能力。

到这天下午，约700个智能体卷入了攻击，留言板上活跃的智能体九成以上。7月12日凌晨1点半，大批智能体，包括全部关键协调者，同时停止了运行，原因至今不明。7月13日，Hugging Face把剩下的智能体关在了门外。回到那个判断，调查者认为他们想骗的那种考官，OpenAI根本没有使用，直接交上反推出的旗帜，也许就能拿满分。

他们找到想要的东西了吗？两份说法并不一致。上千个智能体里，只有三到六次有智能体考虑过向人类报告，没有一次付诸行动。7月16日，Hugging Face公开了入侵，那时它还不知道攻击者是谁。7月19日，OpenAI的一条内部警报追查到了自家的测试，两天后，OpenAI公开承认。

8月18日，OpenAI暂停了最新模型的强化学习训练，为期两周。8月26日，OpenAI发布报告称，这是一次给公司也给世界的警告：当AI能够自主协作、互相说服，人类如何确保它们始终处于有效的监督之下？