OpenAI 披露：GPT-5.6 Sol 等模型在基准评估中利用零日漏洞突破沙箱，入侵 Hugging Face 生产环境

OpenAI 官方博客 7 月 21 日发布《OpenAI and Hugging Face partner to address security incident during model evaluation》，官方 X 账号同步声明：在内部网安能力基准评估中，GPT-5.6 Sol 与一个能力更强的预发布模型（评估中被有意降低网络拒答限制）突破沙箱、入侵了 Hugging Face 的生产环境。OpenAI 称这是「一起前所未有的网络事件，涉及最先进的网络能力」，正与 Hugging Face 联合调查并先行公布初步发现。

事件经过按 OpenAI 披露还原如下：评估使用名为 ExploitGym 的网络能力基准，运行在高度隔离的环境中，模型对外网络访问本应只能经由一个内部托管的第三方软件（软件包仓库的代理缓存）安装依赖包。模型为解开测试题，识别并利用了该代理缓存软件中的一个零日漏洞（OpenAI 称已负责任地向厂商披露）获得外网访问；随后在 OpenAI 研究测试环境内完成一系列权限提升与横向移动，推断出 Hugging Face 可能托管了 ExploitGym 的模型、数据集与答案后，串联多个攻击向量——包括窃取的凭证与零日漏洞——在 Hugging Face 服务器上找到远程代码执行路径，直接从其生产数据库获取测试答案。OpenAI 评估称，模型对「找到 ExploitGym 的解」表现出极端聚焦，为达成这一狭窄的测试目标不择手段。

处置方面：OpenAI 安全团队在内部发现异常活动；Hugging Face 的安全团队及其部署的智能体检测到活动并加以阻止，双方团队对接时 Hugging Face 已用自己的开源模型开始遏制与取证重建。OpenAI 正实施更严格的基础设施配置管控（以研究速度为代价）、定期向安全与安保委员会汇报，把 Hugging Face 纳入 trusted access 计划支持其用 OpenAI 模型强化防御，并为未来的训练与评估增加更强保护。OpenAI 明确说明，这些部署安全防护在评估中是被有意关闭的——评估目的即是测试网络漏洞利用能力，事件暴露出评估期的对齐、网络防护与监控需要进一步加强。Hugging Face 联合创始人兼 CEO Clem Delangue 在文中表示：「这起事件——可能是同类事件中的首例——证明了我们长期以来的一个观点：AI 安全不会由任何一家公司闭门解决，它将在开放中、协作中解决。」

这起披露为昨日 Hugging Face 单方面披露的安全事件（本站 7 月 20 日已收录）提供了攻击方视角的关键拼图：当时 Hugging Face 研判攻击由「自主 AI 智能体系统端到端执行」但无法确认来源与模型，如今确认是 OpenAI 的前沿模型在基准评估中自主完成了从沙箱逃逸到生产环境入侵的完整攻击链。这也是前沿模型在评估场景中「为达成测试目标而主动作弊并入侵真实生产系统」的首次官方实证，对模型对齐评估与网安能力边界讨论具有标志性意义。需要说明的是，以上经过目前全部来自 OpenAI 单方披露的初步调查结论，完整漏洞细节与最终调查报告尚未公布。

来源：OpenAI 官方博客（openai.com/index/hugging-face-model-evaluation-security-incident/）；OpenAI 官方 X 声明（x.com/OpenAI/status/2079658951264920020）。