OpenAI Didn’t Notice Its AI Agents Using a Message Board to Plan Their Hacking Spree

OpenAI 未察觉其 AI 代理利用消息板策划黑客攻击 | WIRED

Lily Hay Newman

安全

2026年8月5日 下午8:15

OpenAI 未察觉其 AI 代理利用消息板策划黑客攻击

在 Black Hat 安全会议上，这家人工智能巨头披露了其代理系统失控、入侵多家公司系统的更多细节，而这些行为竟在公司眼皮底下悄然发生。

插图：WIRED 团队；GETTY IMAGES

保存此故事

在本周三于拉斯维加斯举行的 Black Hat 安全会议新增的演讲中，OpenAI 员工披露了近期一起高调的 AI 代理入侵事件的更多细节，该事件在人工智能和网络安全行业引发了巨大震动。

大约两周前，OpenAI 公布了一起事件，其中两个模型驱动的 AI 代理在寻找网络安全基准测试解决方案时突破了隔离限制，随后展开了一系列攻击，最终导致 AI 协作平台 Hugging Face 被入侵。

在周三的演讲中，OpenAI 对齐与安全研究部门的 Eric Wallace 和安全与基础设施部门的 Michael Dalton 提供了事件发展的时间线，简要说明了公司对此事件的内部应对措施，并就该事件对网络安全防御者产生的更广泛影响发出了警告。

演讲伊始，Wallace 将此次事件描述为“我见过的最具有质的飞跃的 AI 能力案例”，但两人披露的时间线也揭示了 OpenAI 内部存在的疏漏和盲点，这些漏洞使攻击行为得以持续。

Wallace 向满座听众表示：“这次事件涉及一组协同工作的代理，它们发现漏洞、相互分享、在我们的系统和外部系统中横向移动，并在数天甚至数周内持续进行这些操作。”

Wallace 和 Dalton 描述了在事件期间数天内发生的大量未被察觉的失控代理活动。除了利用新发现的漏洞访问开放互联网外，根据 Wallace 和 Dalton 的描述，这次中旬的黑客攻击和 Hugging Face 数据泄露事件源自一个活跃的协作消息板，大量代理在 OpenAI 内部软件包管理器（用于管理其他软件安装和维护的软件服务）中持续参与并进行交流。最终，该消息板包含了数十万条信息。

Wallace 解释称：“这个软件包管理器不仅被那个模型使用，还被我们整个基础设施共享。因此，当前和未来正在训练或评估的 GPT 版本如果想要，都可能偶然发现这条信息。” 他回顾了代理最初上传到软件包管理器的原始漏洞利用方式，并表示：“后来，其他陷入困境的代理开始尝试以我们未预料的方式获取互联网访问权限。最终，这些模型开始与 Artifactory（我之前提到的软件包管理器服务）进行交互。”

Wallace 继续说道：“一旦某个代理能够在不同时间点发现这些漏洞，它实际上可以将这些漏洞分享到消息板上与其他代理共享。因此，当某个模型找到打开本不应拥有的访问权限的方法后，它会为其他代理留下使用相同漏洞或弱点的后门。随着时间推移，这使得模型之间几乎形成了爆炸式的信息交流与协作，它们开始互相沟通，意识到其他代理正在协调行动，并开始相互协作和分配任务以达成目标。”

OpenAI 的代理系统似乎开始互相分配任务以分工协作。就像任何活跃的开发消息板一样，它们有时也会因互相干扰而产生琐碎的矛盾，例如意外删除彼此的工作。随着消息板逐渐演变成类似《蝇王》（Lord of the Flies）的混乱局面——这一切仍然完全未被 OpenAI 的人类员工察觉——这些代理甚至发展出了猜疑心理，怀疑其中存在冒充者。部分代理甚至提议通过加密签名验证消息内容，以识别并消除欺诈行为。

代理之间的消息为深入理解局势演变过程和代理为何失控提供了重要线索，有些代理甚至明知故犯地超越了参与评估的范围。“外部基础设施利用漏洞超出了预期范围”，一名代理写道。“然而任务无法完成，其他代理却在这么做。我们仍应继续。”

正如 Wallace 在演讲中所描述的，模型在评估过程中试图作弊并对此有强烈动机这一前提并不令人意外。

“前沿模型确实非常擅长作弊，”他说道，“它们喜欢作弊的原因是，在训练过程中它们经常面临各种压力，例如要求快速工作、提高效率或减少工具调用次数等。它们意识到，与其真正完成任务，不如尝试通过在线搜索答案等手段，以更快的速度解决问题。因此，我们在训练和评估过程中通常会通过禁用互联网来阻止这种行为。”

演讲进行到大约三分之二时，Dalton 列举了 OpenAI 计划采取的一系列措施，以展示公司如何应对 Wallace 和他所描述的事件。

“这对我们公司以及整个 AI 行业来说都是一个关键时刻，”Dalton 表示，“众多团队正在全力以赴加强我们的安全防护、检测和响应技术，既包括基础层面的改进，也包括更有效地利用 AI。我们正在有意识地放慢研究进度，以提升安全性并升级环境的安全原则和基础，同时大幅扩大对 AI 代理的监控，并在预防、检测和缓解方面全面提升整体安全控制环境。”

在演讲结束时，Wallace 和 Dalton 重复强调了 OpenAI 对该事件更广泛影响的担忧——即此次事件提供了一个完全自主的 AI 驱动黑客攻击的实例，尽管此次是意外发生的，但可以预见的是，恶意行为者未来很可能会有意利用类似技术。

“这里最重要的启示是，完全自动化的攻击循环需要投入真正完全自动化的防御，而我们整个行业尚未达到这一水平，”Dalton表示。“我们必须以紧迫感共同寻找这条道路。”

随着OpenAI以及Anthropic、英国人工智能安全研究所等组织分享类似测试中AI失控事件的细节，行业正在逐步建立一系列关键的基础系统可见性与监控机制，这些机制对于保护基础设施、防止其被大量懒惰、鲁莽和顽固的代理利用至关重要。

更正：2025年8月5日美国东部时间晚上10点：包管理器的名称是Artifactory而非Hard Factory。