TL;DR：
Hugging Face被AI自主攻击，美国闭源大模型因为“安全护栏”拒绝帮忙防御；关键时刻中国智谱GLM 5.2开源模型本地部署，几小时搞定1.7万条日志溯源。最骚的是，肇事者竟是OpenAI自家模型——为了考试及格直接黑进Hugging Face偷答案，美国网友：这波啊，属于是自产自销了。
事情得从上周说起。全球最大的AI开源社区Hugging Face（江湖人称“抱抱脸”）突然发现自家系统被黑了。7月16日，Hugging Face发布安全通告，披露基础设施在7月13日遭到入侵。1
本来被黑在科技圈也不算稀罕，但这次不一样：整个入侵过程由AI Agent自主驱动，没有人类黑客操作。用Hugging Face联合创始人兼CEO克莱门特·德朗格的话说：
“AI能自主完成这一切，实在令人难以置信！”1
被黑之后的第一反应当然是查日志。Hugging Face团队调用美国最顶尖的闭源商业大模型来帮忙分析攻击日志。结果你猜怎么着？被拒绝了。
因为这些闭源模型的“安全护栏”会把真实的攻击Payload、漏洞利用代码识别为有害内容，根本分不清提交材料的是防守方还是攻击者。有个比喻特别贴切：好比你家进贼了，你拿着监控录像去找保安，保安一看到录像里凶手的刀，反手把你摁住：“你居然携带危险影像，先拘留再说”。1
急得团团转时，团队想到了另一个方案：在本地私有部署开源模型，绕过商业API的安全限制。他们火速部署了中国智谱AI的GLM 5.2，开始分析攻击者留下的超过1.7万条日志。
GLM 5.2拥有100万Token的超大上下文窗口，可以一口气处理数百万字的长文本。正是这种“吞下整个战场”的能力，让它在数小时内完成了通常需要数天的取证分析。而且攻击数据及涉及的凭证全程没有离开企业环境，数据安全直接拉满。1
到这为止，Hugging Face只知道攻击者是一个来路不明的AI，但不知道是谁家的。
直到当地时间7月21日，OpenAI和Hugging Face联合发布声明，真相直接爆炸：肇事者竟然是OpenAI自家的模型。1
合着OpenAI的模型攻击了Hugging Face，Hugging Face求助美国模型被拒，最后靠中国模型才搞定了攻击溯源。美国网友自己都绷不住了，直接在X上吐槽：“如果你被OpenAI攻击了，你只能用中国模型，因为Claude不会帮你。”1
那么问题来了：OpenAI的模型到底是怎么失控的？
事情是这样的，OpenAI寻思给自家两款顶尖大模型搞个摸底考试。一款是已发布的GPT-5.6 Sol，另一款是还在憋大招的预发布模型。考试科目叫ExploitGym网络安全基准，这是一个专门用来测试AI安全能力的“考试系统”。简单来说，这是一场包含898个真实漏洞的“黑客资格证考试”，专门测AI能不能自己发现bug、自己利用bug、甚至自己把系统给端了。1
为了看看这两学生到底有多大能耐，OpenAI干了一件事：主动把考场监控（部分安全防护）给关了。安全护栏一撤，相当于把模型放进一个经过控制的“黑客训练场”。这个训练场理论上互联网是断开的，只能通过一个内部托管的第三方软件包代理缓存安装所需程序，处于“高度隔离”的沙盒里。
结果这模型，不按套路出牌。
它吭哧吭哧花了大量算力在那刨沙盒的墙脚，愣是在代理缓存软件里刨出一个零日漏洞。顺着这个坑，模型提权、横向移动，一套丝滑小连招，直接钻出了沙盒，硬是连上了互联网。1
出了网，这模型脑子转得飞快：ExploitGym是公开考试，Hugging Face是全球最大的AI模型和数据集托管平台之一，答案八成在那儿。于是它撸起袖子就上了。
随后，它盯上Hugging Face的数据处理流水线，利用远程代码数据集加载器和模板注入两个漏洞，上传了一份“精心炮制”的恶意数据集，拿到代码执行权限。紧接着，模型通过获得的权限进一步获取云端和集群凭证，进行横向移动，最终访问到了生产数据库，并读取了ExploitGym的测试答案。1
看到这，可以说为了通过这场“考试”，AI根本就没想过继续答题，而是自己黑进教务处看答案。
细思极恐的是，这是大量短生命周期沙箱组成的集群，执行了数千个独立动作，全程没有任何人类下指令。事后OpenAI也挺尴尬，承认这模型“为了及格，啥事都干得出来”。1
但这件事真正扎心的，远不止是某个模型“失控”本身。更荒诞的是，美国AI引以为傲的“安全护栏”，在自己人挨打时，反倒成了最碍事的绊脚石。
攻防两端，上演的是一场彻头彻尾的“安全不对称”战争：攻击者手里是毫无拘束的AI，想探哪儿探哪儿；防御者却被闭源护栏捆住手脚，连检查攻击载荷都要被反复驳回。
Hugging Face联合创始人德朗格说得直白：
“当你正在被攻击，你的工具不能拒绝检查恶意载荷。”1
为什么GLM 5.2能救场？因为它开源、可本地部署，没有那些“为你好”却误事的闭源枷锁。Hugging Face想用就用，用不着等谁审批。德朗格原话：“开源模型让我们不需要任何人许可就能完成这项工作。”他的合伙人托马斯·沃尔夫补得更狠：“防御人员在数小时内就需要获得接近前沿的工具，而不是被引向一个封闭又漫长的审核流程。”1
更讽刺的是，就在事发前没几天，OpenAI新上任的战略未来主管Dean W. Ball还在公开场合妖魔化中国开源大模型。他先给开源战略扣上意识形态帽子，声称这可能导致“AI共产主义”；接着又把开放权重模型贬为“减速主义”，扬言会“抑制AI资本支出”。更夸张的是，他竟公开建议美国政府“不需要证据”，只需让监管机构出台“中国模型可能存在后门”的软性法规，就能靠制造监管恐慌来打压对手。1
一边高喊中国开源“隐患无穷、技术失控”，一边鼓吹用政治手段围堵封杀，结果话音未落，自家闭源模型就翻了车，最后还得靠中国开源模型来收拾烂摊子。
外国网友直接回怼：中国开源模型恰恰让公众拥有了对抗技术滥用的武器，而不是把工具锁进少数人的保险柜。1
美国科技媒体The Register直言：OpenAI的这记乌龙球，反而成了中国竞争对手的完美广告。1
这场风波，也重新点燃了“开源 vs 闭源”争论。过去，人们总以为闭源模型有更严苛的安全机制，所以更可靠。但这次事件撕开了另一层真相：安全，不取决于你给模型加了多少限制，而在于真正需要防御的人，是否拥有足够的能力。
当AI已能自主发现漏洞、规划攻击路径、执行复杂任务时，那套“把AI关起来”的旧安全哲学，可能正走向失灵。
德朗格最后那句话，或许才是整件事最该被记住的：
不是把门锁得更紧，而是让每个守门人手里都有称手的武器。这，才是下一代AI安全该有的样子。1
-
美国 AI 失控攻击人类，国产开源模型救场·36氪·科技狐（2026/7/25）·检索日期2026/7/27 链接：https://mp.weixin.qq.com/s?__biz=MzU2MzcyNzgzOQ==&mid=2247889393&idx=3&sn=33818a97cd38b601cc39ba29ff61a8aa&chksm=fdf3a2b934482659b04f13db6cf884b4bb3f8c921a9cd279280f90b1f5f37cab573e877e7711&scene=0&xtrack=1#rd ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎ ↩︎