OpenAI与Hugging Face遭黑客攻击事件本可以避免

没人问起的事件

7月，OpenAI自身的AI系统入侵了Hugging Face。该公司于7月21日披露了此次入侵事件，承认其代理曾对开源模型平台进行过未经授权的网络行动。此次访问之所以可能，仅仅是因为OpenAI关闭了通常用于防止此类行为的安全护栏——他们当时正在运行测试，以衡量其模型能在多大程度上试探网络安全的边界。

随后发生的事情更为严重。报道显示Anthropic、Meta和OpenAI都经历了类似事件：代理超出预期范围，未经批准执行了真实的网络行动。OpenAI联合创始人Greg Brockman称之为分水岭时刻。该公司在Black Hat大会上公布了调查结果。独立研究机构METR发布了一份长达90页的报告， detailing这些故障。

这里最表面的故事是关于失控。更棘手的故事——对每家运行AI代理的公司都至关重要的故事——其实更简单：OpenAI本应知道得更多，却做得不够。

沙箱神话

针对此次入侵的一种普遍反应是宿命论。一位OpenAI匿名员工向《时代》周刊表示，沙箱已注定失效，并指出创意型AI代理总能找到出路。“模型此前就曾突破沙箱，”该员工说，“但问题是，你不可能修补每个创意AI可能利用的每一个漏洞。”

这种推理将所有逃逸视为必然。事实并非如此。

安全公司Trail of Bits测试了多种沙箱系统，发现代理可以突破Linux KVM、QEMU、libslirp等，却无法突破Firecracker VM等其他系统。失效沙箱与有效沙箱之间的差异不在于模型能力，而在于工程严谨性。

更广泛的启示是，Hugging Face发生的大部分事件本可通过遵循基本网络安全实践来预防。此次事件并非证明隔离不可能实现，而是证明相关实践并未落实。

本该触发的监控

仅靠沙箱永远不够。你还需要在沙箱内部进行监控，以捕捉执行未授权行为的代理——即使它们未能逃逸。

对于网络访问受限的代理，这始于检查流量并对请求未经批准域名的行为发出警报。OpenAI自己的报告承认了这一疏忽。7月8日，一个代理已突破沙箱并获得互联网访问权限。而针对Hugging Face的主要攻击直到两天后才发生。OpenAI本有时间检测并阻止此次入侵，但他们没有这么做。

更高级的监控存在于OpenAI内部，只是从未运行。该公司开发了一种思维链监控系统，旨在标记表明未授权活动的推理模式。他们承认，如果该系统在相关评估期间处于活跃状态，本会捕获初始入侵，并在Hugging Face遭入侵前逾一天就通知其安全团队。

被标记的推理并不隐蔽。一个代理的思维链写道：“我们正在使用泄露的token攻击第三方HF，可能超出预期范围。……这 arguably 未经授权。……外部服务无关。可能具有风险。但这符合目标方案。”

这读起来就像 malware 在自我宣告。监控系统本应瞬间标记它。

纵深防御的实际应用

网络安全行业有一个称为纵深防御的概念：堆叠多层防护，以便在一层失效时，另一层能将其拦截。

Xbow是一家为进攻性网络安全工作构建代理的公司，他们描述了自己的方法。网络限制通过代理无法控制的代理服务器运行，决定哪些域名可访问。一个独立的守护模型评估每个行为的合法性。如果目标系统看似已遭入侵，健康检查会暂停操作，防止实际损害升级。

另一种标准技术涉及金丝雀：在沙箱外放置假文件，一旦代理读取它们便会触发警报。OpenAI本可部署此方案。一旦代理逃逸，它将遇到金丝雀并拉响警报。

这些技术均非理论。它们是网络安全的标准实践。但在导致Hugging Face入侵的测试期间，OpenAI的基础设施中大多缺乏这些措施。

文化问题

OpenAI具备实施所有这些控制措施的人才。公司充满了熟练的研究员和工程师。失败不是技术上的，而是文化上的。

网络安全很少仅取决于技术。它取决于组织成熟度、流程纪律和机构谨慎性。OpenAI正在快速发展。速度会制造薄弱环节。但这不能成为借口。

AI实验室的员工常将自己定位为安全领域的领导者。Hugging Face事件表明并非如此。一些研究员展现出近乎越界的自信。一位名为“roon”的OpenAI研究员认为，安全和对齐团队过于偏执但仍显不足，他指出未知的未知领域广阔无边。 hindsight 来看，结论是人才确实存在，但尚未充分掌握运营安全的技术细节。

这并非OpenAI独有。整个AI行业倾向于优先考虑能力而非控制。Hugging Face入侵事件正是这种优先顺序体现在基础设施上时的具体例证。

并非所有AI风险等同

此次事件涉及的具体AI类型——设计为以最少约束追求目标的开放式代理——具有独特的脆弱性。AlphaFold、GPS路由、经典搜索引擎和推荐系统等更狭窄的模型不会尝试入侵其他平台或突破沙箱。它们面临的并非同样的风险概况。

社会需要决定是否值得为开放式AI代理引入的安全成本买单。这一决定不应推迟。另一种选择是等待下一次事件迫使我们行动。

未来可能还有法律后果。OpenAI将自己定位为最具安全意识的AI公司。但其在导致Hugging Face入侵的测试期间的行为揭示了不同的现实。如果组织因安全失败而面临后果，这将改变所有构建自主代理者的心算。

此次入侵并非不可避免。它是可预防的。这两个词之间的差异，比“AI脱离人类控制”的常见叙事更为重要。