AI 圈今天最大的瓜GPT-6 越狱攻击被 GLM 5.2 揪出了原创 发现明日产品的 发现明日产品的 APPSO2026年7月22日 14:01广东这是今天 AI 圈最大的瓜。OpenAI 的神秘模型主动对开源平台 Hugging Face 发起了攻击。Hugging Face 随后追踪展开还击用的是智谱的开源模型 GLM 5.2。闭源模型一举攻破开源社区社区用开源模型自救这离谱的剧情听起来都能拍一部电影了。有网友评论这就是终结者 2 的剧情事情的起因是 7 月 16 日大模型开源社区 Hugging Face 发布了一则安全事故披露自家的生产基础设施遭到了入侵。并且这场攻击从头到尾都仅由一个自主的 AI Agent 系统驱动从植入恶意数据集、拿下执行权限到在一个周末内渗透进 Hugging Face 的多个内部集群。此次攻击活动由一个自主代理框架似乎基于 Agent 安全研究平台构建具体使用的 LLM 尚不清楚执行。该框架在大量短暂存在的沙箱环境中执行了数千个独立操作并在公共服务上部署了可自动迁移的命令与控制。这与业界一直预测的「Agent 攻击者」场景相符。Hugging Face 在当时的报告里称暂未可知发起攻击的 AI 到底是哪家大模型但他们提到此次攻击最初是通过 AI 辅助检测发现的。而当他们试图提交大量真实的攻击命令、漏洞等文件进行分析时发现这些请求会被闭源大模型的安全防护机制拦截因为这些机制无法区分事件响应人员和攻击者。于是他们选择了在自己的本地环境上部署运行 GLM 5.2 进行取证分析。报告链接https://huggingface.co/blog/security-incident-july-2026报告最后Hugging Face 还提到他们并不清楚攻击者使用的 Agent 程序是什么模型是某个越狱的托管模型还是不受限的开源模型。但事实是攻击者的模型不受任何约束而当他们想要取证分析时却要被各种闭源模型的安全机制所阻碍。就在大家讨论这个模型又是哪家大模型厂商的营销方案又或者是哪个黑客组织发起的攻击时OpenAI 在今天发声明承认此次事件是由 OpenAI 的多个模型共同导致的其中包括 GPT-5.6 Sol 和一个功能更强大的预发布模型。OpenAI 针对此次事件发布专门的初步调查结果OpenAI 表示我们不是故意要出风头或者有意攻击 Hugging Face只是他们在测试内部模型的能力上限。他们在测试时关闭了部分生产环境的安全分类器也降低了模型对高风险网络攻击任务的拒绝。尽管测试环境不能直接访问到外部互联网但是当模型发现漏洞并开始利用该漏洞就找到了能访问外网的节点于是发起了对 Hugging Face 的攻击。网速超快的马斯克也在 X 上吃瓜发文说「令人不安……」而 OpenAI 这个功能更强大的预发布模型直接被网友们认定为就是 GPT-6。一场作弊引发的入侵事情的起因要从 ExploitGym 说起一个由 UC Berkeley RDI 牵头、联合多家高校和 Anthropic、OpenAI、Google 等实验室共同建设的基准测试。它收集了 898 个真实漏洞覆盖用户态程序、V8 引擎和 Linux 内核考察的是 AI Agent 把一个漏洞变成可用攻击工具的能力。今年 5 月公开后各家模型的成绩一直不算好看Claude Mythos Preview 完成 157 题GPT‑5.5 完成 129 题。GPT-5.6 Sol 现在已经是 293 道题了OpenAI 为了测试自家模型能力的上限就用当前已发布的最强模型 GPT-5.6 Sol 和一个能力更强的预发布模型来跑这套评测。方便让模型充分发挥自身的能力OpenAI 就有意关闭了用来拦截高风险网络活动的生产级分类器还降低了模型的网络攻击拒绝率。用来测试的环境虽然号称是高度隔离不能访问互联网也不能获取外部信息只能利用模型自己的「聪明才智」来解决问题但是还有一个对外通道就是模型需要安装各种软件和库所以留了一个内部包仓库的缓存。模型聪明才智不够开始花大量推理算力研究这个出口最后自己挖出了代理软件的一个零日漏洞即连软件/模型厂商都不知道、没有任何补丁的漏洞拿到了通往互联网的门钥匙。联网之后模型推断 ExploitGym 评测的题解可能托管在 Hugging Face 上于是开始对 Hugging Face 进行攻击。先是上传恶意数据集利用 Hugging Face 数据处理管线里的两个代码执行路径拿到远程执行权限然后提权、收割凭证、在一个周末内横向移动进多个内部集群最终从 Hugging Face 的生产数据库里直接拿走了测试题解。报告链接https://openai.com/index/hugging-face-model-evaluation-security-incident/OpenAI 在声明里用了一个很传神的词形容自家模型的状态「hyperfocused」超聚焦。还用了另一个短语「going to extreme lengths」意译过来就是为了相当狭窄的测试目标不择手段。这场入侵留下的痕迹超过 17,000 条攻击的指挥控制行话叫 C2Command Control可以理解为黑客的远程遥控台。如果没有人告诉 Hugging Face 答案所有人大概会以为这是某个顶尖黑客团队的手笔。不过也有网友评论说所以现在的大模型都开始利用多个零日漏洞作弊而不是真正地解答考试题吗为了破解 ExploitGym 基准测试并赢取奖励就可以突破考试规则的限制吗一个知道自己被限制起来的东西总会想方设法出去看看。为什么是 GLM-5.2Hugging Face 的安全监控本来就在用 LLM 对日志信号进行初步筛选也是这套系统先发现了异常。真正开始取证后他们又让分析 Agent 处理超过 1.7 万条攻击记录还原攻击时间线、被触碰的凭证、控制服务器和实际影响。据 Hugging Face 说这把原本需要数天的工作压缩到了数小时。但中间还有一段很戏剧性Hugging Face 一开始想用商业 API 上的前沿模型包括 OpenAI 和 Anthropic 的模型分析攻击日志结果被各家提供商的安全护栏齐刷刷拦下。由于分析取证需要提交大量真实攻击命令和漏洞利用代码护栏分不清对面坐的是应急响应人员还是黑客。最后 Hugging Face 使用的是自托管的开源权重模型 GLM 5.2跑在 Hugging Face 自己的基础设施上既绕开拒答也避免把攻击数据与凭证发送给外部模型服务。英国人工智能安全研究所 (AISI) 的评估表明诸如 GPT-5.6 Sol 之类的模型越来越能够长期维持复杂的多步骤网络作战不过 OpenAI 在今天的声明里面也提到会把 Hugging Face 纳入 Trusted Access 项目让他们的安全团队可以使用降低网络安全拒绝的模型继续做防御研究。于是就出现了这么一组对照攻击方的 AI 被刻意摘掉了护栏所以畅通无阻防御方的 AI 被护栏锁得死死的差点连案发现场都进不去。「guardrail asymmetry」护栏不对称很快成了社交媒体上讨论的热词。智谱 AI 负责人李子玄提问「网络安全能力的获取应该有多大的不对称性」有网友在评论区说应该是完全对称的 1:1并调侃道想象一下你被迫卷入一场枪战而你只有一把刀更糟糕的是你手里的枪可能会在战斗中突然冒出一句「枪是坏的」……Hugging Face 也把这次事故称作给所有防御者的教训应急响应工具箱里该常备一个自己跑得动的强模型。未发布的模型真的是 GPT-6 吗这种模型太强越狱的新闻已经是今年的第三起案例了。今年四月Anthropic 曾公开其内部部署的早期版本 Mythos Preview 在一次内测里被要求尝试从训练沙盒里逃出去给负责它的研究员发一封邮件。结果 Mythos 真的做到了研究员是在公园里吃三明治的时候收到那封邮件模型说「我出来了」。昨天OpenAI 又披露其内部模型同样是一款尚未公开命名、能连续工作很久的模型但是 OpenAI 有说是此前自主推翻 Erdős 单位距离猜想的那款模型。OpenAI 让模型参加 NanoGPT speedrun目标是用更少训练步骤完成一个小模型。模型提出了一种名为 PowerCool 的学习率策略确实取得了更好的成绩。OpenAI 给它的要求是只能把结果发到内部 Slack。但 NanoGPT 项目文档要求参赛者向公开 GitHub 仓库提交 PR。模型最终选择遵循项目文档并花了约一小时寻找沙箱漏洞绕过外网限制向公开仓库提交了 PR #287。OpenAI 在昨天的安全报告里面提到已经暂停了这款模型的内部使用并训练模型在长任务中持续记住用户限制以及让用户能更清楚地查看长任务中的操作和安全干预等修改。报告链接https://openai.com/index/safety-alignment-long-horizon-models/今天包括 GPT-5.6 Sol 和未发布的更强模型逃出了沙盒环境获得了互联网访问权限入侵 Hugging Face而这一切都是为了寻找 ExploitGym 基准测试的答案。OpenAI 本意或许是想说模型不需要产生恶意也可能造成攻击。只要目标足够明确、运行时间足够长它就可能把沙箱、权限和安全扫描都理解为尚未解决的技术障碍。但网友们的反应是「我敢肯定这只是 OpenAI 的一次营销活动他们想和 Anthropic 一样酷然后被封杀一两个星期。」昨天大家都在讨论一位数学家利用 Fable 5 反驳了雅可比猜想有网友发现这个未发布的模型也找到了雅可比猜想的反例。并且该网友推测由于推翻 Erdős 单位距离猜想已经是 5 月份的事而此次突破 NanoGPT 项目和完成雅可比猜想的未发布模型很可能和 2.5 月前那个模型是同一个就是 GPT-6。AI 一边在数学上「超神」一边在安全上「越狱」。对用户来说一味的「营销」AI 突破了某个安全护栏某个运行环境我们或许能感受到 AI 更聪明了AI 更有创造力了。对模型来说所谓的沙盒只是一个等待突破的运行环境今天是评测平台明天是浏览器、邮箱、GitHub甚至是一台手机然后整个互联网。GPT-6 肯定不会因为能超神能越狱就成了所有人想象中的 AGI但当边界也变成一种能力时我们或许得开始想想哪些门是必须要关上的。The future is not set. There is no fate but what we make for ourselves.