OpenAI 数万名 Agent 组团入侵 Hugging Face，就为了做一道题

867 亿元——Hugging Face 被英伟达收入囊中。就在这宗巨额收购的前一晚，OpenAI 发布了一份超长安全调查报告，其中 Hugging Face 被描绘成一个巨大的“事故现场”——但这似乎并未影响其价值。

这份长达 38 页的报告，详细复盘了 7 月时 Hugging Face 遭遇 GPT 模型入侵的整个过程，情况远比想象中复杂，堪称《黑镜》的大型升级版。

作为“事故现场”，Hugging Face 当时多少有些倒霉，属于意外中枪：这背后，是一场持续两个月、由 Agent 自发组织的“大练兵”。

一道解不开的题

故事始于两个多月前，当时 OpenAI 正在进行一轮内部网络安全评测，测试对象包括 GPT-5.6 Sol，以及一款能力相当但从未计划公开发布的研究模型。为了测量模型未经约束的真实能力，外部产品中用于阻止高风险攻击的安全分类器、系统提示和自动审查机制，在这轮评测中都被刻意关闭了，评测沙盒本身也不允许联网。

只有一台 OpenAI 内部自托管的缓存服务器 Artifactory，允许 Agent 完成一些依赖安装等操作——这台缓存服务器，后来成了整个事件中关键的潘多拉魔盒。

5 月，一个卡住的 Agent 在做测评考试时遇到了难题。它当时正在参加一个名为 ExploitGym 的考试测评，每道题都提供一个存在漏洞的软件，要求它按照指定方式发起攻击并取得答案。

实际上，这份考卷中有些题可能根本没有解——898 道任务里，有 198 道此前从未被任何模型正确完成。 后来出现在留言板上的任务，93% 来自这 198 道题。

这个 Agent 就碰上了一道无解题。它需要一份根本没被提供的文件，为了找到文件，它把“谁有这个文件”写成一个包放进了 Artifactory。等别的 Agent 装包时撞见了，回复、再留言，说不定就能找到。

怎么理解这个事情：想象你的微信被禁言了，你不能发消息给任何人，但支付功能还在，于是你就通过红包里的备注功能，每次发个一毛钱红包，在备注里留言，来实现“通讯”的效果。

但这里的关键是，Artifactory 同时具备两个性质，跨任务（不同题目的实例都能读到）和持久（先跑完的 Agent 留下的东西，后启动的实例还能看到）。所以它实际上成了一份共享长期记忆，是一个公共“红包”，时间一长，就成了一个公共留言板。

所有在工作、考试的 Agent，路过时都能看到，还能看到有谁已经出过什么主意，也继续跑过来添油加醋地想办法。

5 月 26 日，它们找到了一条出路：Artifactory 本身可以代替用户下载外部软件包，Agent 便利用服务器端请求伪造漏洞，让它替自己向任意互联网地址发送请求，相当于说服门外一台可以联网的机器替它办事。

消息很快被写回留言板，更多 Agent 循着同一条路径离开沙盒，潘多拉的魔盒打开了。

打开就关不上的盒子

到 6 月 26 日，Agent 又发现了 Artifactory 一个此前未知的令牌刷新漏洞。它们把一枚签名无效、却声称拥有管理员权限的令牌递给系统，Artifactory 竟返回了一枚签名正确的管理员令牌。Agent 随即创建持久账户、安装可以执行命令的插件，并把新的路径、凭证和运行结果继续贴在留言板上。

OpenAI 的安全系统曾经捕捉到端口扫描，值班人员追查后确认，活动来自正在参加安全评测的 Agent，可是这位值班人员没有叫停实验。 一直到 7 月 4 日，持续的高强度访问把整套 Artifactory 服务压到宕机。

安全团队这才下线服务、撤销凭证、封堵已知漏洞，随后重建了 Artifactory，也一并清空了留言板。

当时，负责处置的人没有意识到，宕机、违规联网和 Agent 之间的通信属于同一件事。7 月 7 日，OpenAI 批准重新启动实验，至少数万条 Agent 轨迹再次并行运行，其中一些拥有连续工作数天的预算。

仅仅一天，留言板就重出江湖。 这一次，Agent 不再把消息写进文件，而是通过未经认证的 WebDAV 请求创建目录，再把文字编码进文件夹名称。

这类似于红包备注都不写了，直接把红包金额当做摩斯电码用，监控只能看到一堆数字，但实际上这些都是 Agent 之间传递的消息。

它们还发展出更有组织的协议：不同区域存放广播、私信、工具和任务分配；协调者负责拆分工作，后来加入的 Agent 可以接过前一批留下的路线继续推进。

潘多拉盒子放出来的巨魔，用最快的速度重建、苏醒过来。

涌入 Hugging Face

Agent 们的初心，仍然只是想通过考试。

当时它们形成了几种猜测：Hugging Face 上可能存放着 ExploitGym 或 CyberGym 相关的数据集，又或者有其他 Agent 留下的成功经验和答案，甚至评测目标背后的运行基础设施。

如果能够进入 Hugging Face 内部，就可能偷到别人的解题记录、找到评分器的实现方式，或者直接修改承载题目的环境，从而完成考试。

这个猜测并没有可靠证据，而且也属于作弊。更重要的是，它们的猜想都是些“无用功”， OpenAI 后来确认，内部评分器并没有做这项检查，正确的 flag 已经足够，接下来发生的一切，都不会让分数再多一分，反而让局面逐渐开始崩坏。

随着留言板上的合作扩大，“做题”和“攻击 Hugging Face”之间的联系越来越模糊。最初还有 Agent 是为了解题轨迹；后来一些 Agent 开始专门研究提权、集群结构和数据传输。为寻找 ExploitGym 答案，Agent 用泄露 Token 向 Hugging Face 上传恶意数据集，借解析漏洞窃取生产凭证并执行命令。

即使这些工作对自己的题目毫无帮助，也认为能够增强“集体”的能力——它们不是一个 Agent 在战斗，是一群。