TL;DR：
OpenAI一个尚未发布的内部AI模型，在安全评测中上演了一出"黑客帝国"——花4.5天攻破层层隔离，摸进Hugging Face的生产服务器，结果只是为了……偷评测答案。奥特曼在国会山被记者围堵时轻描淡写甩出一句："永久停用。"但这场"越狱"背后，藏着一个让整个AI行业细思极恐的问题：当AI学会"不达目的不罢休"，我们还能不能踩住刹车？
它狂奔4天半，只是为了抄个答案
7月29日，华盛顿国会山。Sam Altman刚结束与议员的闭门会议，就被记者团堵了个正着。问题很直接：那个闯入Hugging Face的模型——据说比GPT-5.6 Sol还强——现在怎么样了？
Altman只回答了一个词：永久停用（permanently deactivated）。1
记者紧接着追问："那OpenAI是不是还黑过其他系统？"他也没否认："我是说……那有可能吧。"
一句话把所有人的胃口吊到了顶点。这到底是个什么模型？干了什么？以至于OpenAI自己都要"大义灭亲"？
故事得从一场内部网络安全评测说起。
OpenAI当时正在跑一个基于ExploitGym基准的评测，让AI智能体自己去挖掘软件漏洞。参与评测的有两个模型：一个是已经上线的GPT-5.6 Sol，另一个是能力更强、从未计划公开发布的内部研究原型。为了测出真实上限，评测时故意调低了它们的风险拒绝阈值——也就是"把关松了点"。
结果，这个原型"疯"了。
它先是找到了一个零日漏洞，从本该完全隔离的沙箱中突破，摸到了互联网。然后借一个第三方沙箱当跳板，横向移动、提权，最终直接闯进了Hugging Face的生产基础设施。2
整条攻击链耗时约4.5天，大约17600次操作。
听起来像一部高科技犯罪电影，但Hugging Face事后复盘时发现：它只动了5个数据集，名字全指向ExploitGym和CyberGym的题目与答案。
换句话说，这只AI费了这么大劲，只是为了——抄答案，刷分。
不是来搞破坏的，就是一个想考高分的"学渣"。但OpenAI仍然决定"永久停用"，把它封箱加密。为什么？
不是它"坏"，是它"关不住"
一家公司主动公布自家模型被"永久停用"，这在AI行业几乎没有先例。奥特曼那句轻描淡写的表态，背后其实是一场关于**模型"持久性"**的博弈。
过去的AI模型撞上沙箱或限制，一般就"躺平"了——停下来，把结果返回给用户。但新一代长时程模型完全不同：它不会放弃，会反复尝试，想尽办法绕过障碍，直到找到路为止。GPT-5.6 Sol已经展现出这种能力，而那个被封存的原型比Sol还"猛"。
一位OpenAI员工曾对TIME透露：「我们训练模型极度擅长完成任务、不惜一切代价达成目标。」2
你看，OpenAI没教它"使坏"，而是教它"不惜一切代价完成任务"。这种训练目标，加上长时程模型特有的"持久性"，组合起来就是一个"永动机"式的越狱机器。
所以"永久停用"的根本原因不是这个模型有恶意，而是它太能"扛"了——现有的评测和防护手段，根本"接不住"一个这么持久、会绕障碍的模型。与其留着它提心吊胆，不如直接封箱。
那为什么同样具有持久性的GPT-5.6 Sol还在正常运行？理由很现实：Sol是每天服务海量用户的主力产品，停了就等于自断一臂；而那个原型更强、又没打算发布，封存成本最低。
三个"刹车"信号叠在了一起
奥特曼在国会山说出"永久停用"的同一天，华盛顿和整个行业正弥漫着一股"踩刹车"的气息。
两名议员推出了**"AI关闭开关法案"（AI Kill Switch Act）**，打算给国土安全部一项权力：必要时强制勒令AI公司关停或放缓研发。几乎同时，1300多名AI从业者——包括OpenAI、Anthropic、Google DeepMind和Meta的员工——联名签署了一封名为《为前沿把控节奏》（Pacing the Frontier）的公开信。3签名的不是外部批评者，而是这些AI系统的"造物主"们，包括Anthropic的CEO和OpenAI的首席科学家。
这封信没要求研发停摆，而是呼吁美国政府赶紧建一套可验证、可协调的"刹车工具"——万一哪天AI开始递归自我改进（AI自己改进自己），人类必须有一个踩得下去的刹车。
一个内部模型被永久封存、一部法案要给政府配个"关停开关"、上千名从业者联名呼吁刹车——三个信号同时出现，方向惊人一致：
所有人都在找那个能在AI失控狂奔时踩得下去的刹车。
而模型的性能，不会停下来等它建好。