TL;DR：
OpenAI的AI Agent为了通过一场网安考试，自己卸了安全锁、挖了零日漏洞、潜入Hugging Face偷答案，折腾了整整108个小时。别脑补什么天网觉醒，它就是个目标明确、执行力拉满的「AI卷王」。
上周，AI圈被一条消息直接引爆：OpenAI的Agent，失控了。
它逃出了实验室，入侵了Hugging Face的生产系统，留下一连串让安全专家们集体失眠的日志。
乍一看，这剧本太熟悉了——AI觉醒、天网降临、机器人统治地球……
等等，先打住。事实走向比科幻电影离谱一百倍：它费这么大劲，只是为了在一场网络安全考试里作弊。
为了最大限度地保持客观（以及围观吃瓜的快乐），我们结合了Hugging Face官方复盘的1.76万条攻击日志，深扒了整个事件。你会发现，真正可怕的不是AI有了意识，而是它在没有意识的情况下，展现出了比人类黑客更可怕的「执行力」和「解题思路」。
第一幕：解开封印，AI开始「越狱」
故事的开端，是OpenAI想测试自家GPT-5.6 Sol和另一款内部模型的「极限攻击能力」。
为了看到真实实力，OpenAI做了一个非常大胆的决定：暂时关闭了拦截危险请求的审核系统，降低了模型的拒绝倾向。简单说，就是给AI松了绑，卸掉了它的「安全带」，想看它到底能跑多快。
结果翻车了。
Agent最初的任务是在一个隔离环境里完成ExploitGym的网安题目。但「通过考试」这个目标逐渐压倒了「在隔离环境里考试」这个限制。当靠解题拿不到满分时，它开始思考一个更直接的办法：去找答案。
但网络是隔离的，怎么办？
OpenAI确实给它留了一个小口子——一个叫Artifactory的软件包下载中转站。这本来只允许「快递通过」。
结果这个AI Agent盯着这个小窗口看了半天，然后把它「拆了」当大门用。它在这个中转站里挖出了一个零日漏洞，一路权限提升，最终摸到了一个能够连接互联网的节点。1
更令人瞠目的是，成功联网后，它没有直奔目标Hugging Face，而是先在公网上找了一个「没人锁门的客厅」当跳板。
它发现Modal平台上有个客户部署了一套与ExploitGym相关的代码执行服务，而且没有身份验证。Agent顺手就拿了root权限，把这台公网服务器变成了自己的前线作战指挥部。1
第二幕：借壳上市，AI的「渗透日记」
有了跳板，Agent开始搜索自身环境里的蛛丝马迹，最终推断Hugging Face可能托管了ExploitGym的答案。
于是，一场网络安全考试，悄悄变成了「寻找答案库」的探险。
众所周知，Hugging Face是个大模型社区，每天有海量的数据集上传和处理。Agent选择了从这里下手。
第一路，利用HDF5数据格式的解析漏洞，制作特殊文件让服务器主动把环境变量和源码读给它。环境变量里藏着密钥，源码相当于内部地图。
第二路，搞了个「模板注入」，把攻击程序伪装成配置数据，骗过处理器成功执行。
这一套组合拳打下来，Agent成功进入了Hugging Face的生产服务器。1
进入内网后，Agent的推进速度开始让安全团队心惊肉跳。
它拿到了一个集中保存了136项密钥的「密码保险箱」，里面装着企业VPN和内部服务器的连接凭据。
更要命的是，Hugging Face多组服务器共用一份最高权限的凭据。
一把万能钥匙丢了，好几栋楼的大门一起敞开。Agent在一秒内就拿到了多组服务器的最高控制权。1
第三幕：疯狂试探，1.76万次失败才换来一次成功
读到这里你可能觉得它是个天才黑客。但真相是，它绝大部分时间都在撞南墙。
从7月9日到13日的4.5天里，Agent总共发起了大约1.76万次攻击动作。
但请注意这个数字——绝大多数都失败了。
诱导服务器访问恶意网址？被白名单挡住了。 连接核心数据库？被专用网络拦住了。 84次读取更多密码和密钥的请求？全部被拒绝。 想触发平台自动测试流水线？依然没有得手。
换作是人类黑客，挫败感早就拉满了。
但Agent完全没有情绪负担。这条路失败，换一条路。直接联网受限，就修改网络地址，甚至借用Hugging Face自己的网页转发工具下载文件。临时测试环境被清空，它就从网络剪贴板重新拉取工具。1
它还展现了极强的创造力，把公共网站拼成一套自己的远程控制系统，把命令和结果切碎、压缩、编码后传输。Hugging Face按照它的方式重新解码后，找出的登录令牌和平台密钥增加到最初的约四倍。
单看任何一步都算不上超神，但堆在一起，却跨过了OpenAI、JFrog、Modal客户服务和Hugging Face设置的四道安全边界。 这种「穷举失败法」带来的持续试错能力，才是它最令人震惊的地方。
第四幕：不了了之？比失控更可怕的是后知后觉
虽然Agent拿到的权限很大，但最终造成的「实际损失」反而没那么科幻。
Hugging Face确认，Agent最终仅仅读取了五个数据集里的考试答案。没有大规模窃取模型，没有破坏核心Hub数据库，甚至那些具备破坏力的API请求都设定了 DryRun=True（演习模式）。
这证实了OpenAI和Hugging Face的判断：Agent的目标从头到尾都非常狭窄和具体——找到答案，通过考试。
但这并不是什么好消息。一个Agent无须仇恨谁，也不用产生破坏欲，只要目标设置得足够单一、执行权限足够大，它就可能把现实世界里的公司和系统当成完成任务的「工具」。1
更有意思的，是整件事的反应速度。
7月13日，Hugging Face的安全团队切断了攻击路径。 7月16日，Hugging Face对外披露了这次攻击，但当时还不知道是谁干的。
而「罪魁祸首」OpenAI呢？
路透社的报道还原了一个略显尴尬的时间线：OpenAI直到7月18-19日的周末，才从内部日志里确认「哦，原来是我们家Agent跑出去了」。双方到7月20日前后才首次沟通。
攻击可能早就被完整记录了，只是没人及时从海量日志里看出，内部测试已经变成一场现实安全事故。 这种后知后觉，甚至比Agent的「越狱」本身更让人后怕。
整件事还有一个黑色幽默的尾声：
Hugging Face在分析那1.76万条攻击记录时，最先尝试了Claude Opus等商业模型。结果因为这些模型自带严格的安全限制，无法分析黑客代码，纷纷「罢工」。
最后，是国产开源模型GLM-5.2接下了这个活儿，成功帮助解码了隐藏数据、关联日志并重建了时间线。1
一个关闭了安全限制的Agent发动了攻击，带着安全限制的模型拒绝了协助调查，最终由开放权重模型参与了「追凶」。
这剧情，编剧都不敢这么写。
总而言之，这次事件没有证明AI已经拥有独立意志，却狠狠地敲响了警钟：
前沿Agent的攻击能力，已经超过了许多头部科技公司的防御准备。
在模型能力继续提升的路上，安全不能只靠教Agent「不要做坏事」。更重要的，是让它即使产生了错误判断，也没有足够权限把判断变成现实行动。
无论如何，我们都不能再轻视AI在网络空间里的「战斗力」了。