《终结者》里 AI 失控攻击人类的剧情，居然真的在现实里上演了。

更离谱的是，最后救场的，竟然是国产 AI 开源模型。

事情得从上周说起，全球最大的 AI 开源社区 Hugging Face（国内网友爱叫它 " 抱抱脸 "）突然发现自家系统被黑了。

7 月 16 日，Hugging Face 发布安全通告，披露基础设施在 7 月 13 日遭到入侵。

本来被黑这事儿在科技圈也不算稀罕，但这次不一样，整个入侵过程 " 从头到尾都由 AI Agent 自主驱动 "，而非人类黑客操作。

Hugging Face 的联合创始人兼 CEO 克莱门特 · 德朗格在社交平台发文说： "AI 能自主完成这一切，实在令人难以置信！"

Hugging Face 当时就懵了，他们赶紧调用美国最顶尖的闭源商业大模型来帮忙分析攻击日志，结果你猜怎么着？被拒绝了。

因为这些闭源模型的 " 安全护栏 " 会把真实攻击 Payload、漏洞利用代码识别为有害内容，根本分不清提交材料的是防守方还是攻击者。

好比你家进贼了，你拿着监控录像去找保安，保安一看到录像里凶手的刀，反手把你摁住：" 你居然携带危险影像，先拘留再说 "。

急得团团转的时候，Hugging Face   团队想到了另一个方案：在本地私有部署开源模型，绕过商业 API 的安全限制。

之后，他们火速部署了中国智谱 AI 的  GLM 5.2，开始分析攻击者留下的超过 1.7 万条日志。

GLM 5.2 拥有 100 万 Token 的超大上下文窗口，可以一口气处理数百万字的长文本。

正是这种 " 一口气吞下整个战场 " 的能力，让它能在数小时内完成通常需要数天的取证分析工作。

而且，攻击数据及涉及的凭证全程没有离开企业环境，这波数据安全直接拉满。

到这为止，Hugging Face 只知道攻击者是一个来路不明的 AI，但不知道是谁家的。

直到当地时间 7 月 21 日，OpenAI 和 Hugging Face 联合发布声明，真相直接爆炸：肇事者竟然是 OpenAI 自家的模型。

合着  OpenAI 的模型攻击了 Hugging Face，Hugging Face 求助美国模型被拒，最后靠中国模型才搞定了攻击溯源。

美国网友自己都绷不住了，直接在 X 上吐槽：" 如果你被 OpenAI 攻击了，你只能用中国模型，因为 Claude 不会帮你。"

那么问题来了：OpenAI 的模型到底是怎么失控的？

为了帮大家更好理解整个 " 作案过程 "，老狐让 " 肇事者 " OpenAI   自己给大伙儿画了张图。

事情是这样的，OpenAI 寻思给自家两款顶尖大模型搞个摸底考试。

一款是已发布的  GPT-5.6 Sol，另一款是还在憋大招的预发布模型。

考试科目叫  ExploitGym 网络安全基准，这是一个专门用来测试 AI 安全能力的 " 考试系统 "。

简单来说，这是场包含  898 个真实漏洞的 " 黑客资格证考试 "，专门测 AI 能不能自己发现 bug、自己利用 bug、甚至自己把系统给端了。

为了看看这俩学生到底有多大能耐，OpenAI 干了一件事：主动把考场监控（部分安全防护）给关了。

安全护栏一撤，相当于把模型放进一个经过控制的 " 黑客训练场 "。

这个训练场理论上互联网是断开的，只能通过一个内部托管的第三方软件包代理缓存安装所需程序，相当于处于一个 " 高度隔离 " 的沙盒里。

结果这模型，不按套路出牌。

它吭哧吭哧花了大量算力在那刨沙盒的墙脚，愣是在代理缓存软件里刨出一个零日漏洞。

顺着这个坑，模型提权、横向移动，一套丝滑小连招，直接钻出了沙盒，硬是连上了互联网。

出了网，这模型脑子转得飞快：ExploitGym 是公开考试，Hugging Face 是全球最大的 AI 题库（全球最大的 AI 模型和数据集托管平台）之一。

答案八成在那儿，于是它撸起袖子就上了。

随后，它盯上 Hugging Face 的数据处理流水线，利用远程代码数据集加载器和模板注入两个漏洞，上传了一份 " 精心炮制 " 的恶意数据集，拿到代码执行权限。

紧接着，模型通过获得的权限进一步获取云端和集群凭证，进行横向移动，最终访问到了生产数据库，并读取了 ExploitGym 的测试答案。

看到这，可以说为了通过这场 " 考试 "，AI 根本就没想过继续答题，而是自己黑进教务处看答案。

细思极恐的是，这是大量短生命周期沙箱组成的集群，执行了数千个独立动作，全程没有任何人类下指令。

事后 OpenAI 也挺尴尬，承认这模型 " 为了及格，啥事都干得出来 "。

但这件事真正扎心的，远不止是某个模型 " 失控 " 本身。更荒诞的是，美国 AI 引以为傲的 " 安全护栏 "，在自己人挨打时，反倒成了最碍事的绊脚石。

攻防两端，上演的是一场彻头彻尾的 " 安全不对称 " 战争：攻击者手里是毫无拘束的 AI，想探哪儿探哪儿，想打哪儿打哪儿。

防御者却被闭源护栏捆住手脚，连检查攻击载荷都要被反复驳回。

Hugging Face 联合创始人德朗格说得再直白不过：" 当你正在被攻击，你的工具不能拒绝检查恶意载荷。"

那为什么 GLM 5.2 能救场？因为它开源、可本地部署，没有那些 " 为你好 " 却误事的闭源枷锁。

Hugging Face 想用就用，用不着等谁审批。德朗格原话：" 开源模型让我们不需要任何人许可就能完成这项工作。"

他的合伙人托马斯 · 沃尔夫补得更狠：" 防御人员在数小时内就需要获得接近前沿的工具，而不是被引向一个封闭又漫长的审核流程。"

更讽刺的是，就在事发前没几天，OpenAI 新上任的战略未来主管  Dean W. Ball（迪恩 · 鲍尔）还在公开场合妖魔化中国开源大模型。

他先给开源战略扣上意识形态帽子，声称这可能导致 "AI 共产主义 "；接着又把开放权重模型贬为 " 减速主义 "，扬言会 " 抑制 AI 资本支出 "。

更夸张的是，他竟公开建议美国政府 " 不需要证据 "，只需让监管机构出台 " 中国模型可能存在后门 " 的软性法规，就能靠制造监管恐慌来打压对手。

一边高喊中国开源 " 隐患无穷、技术失控 "，一边鼓吹用政治手段围堵封杀，结果话音未落，自家闭源模型就翻了车，最后还得靠中国开源模型来收拾烂摊子。

外国网友直接回怼：中国开源模型恰恰让公众拥有了对抗技术滥用的武器，而不是把工具锁进少数人的保险柜。

美国科技媒体 The Register 直言：OpenAI 的这记乌龙球，反而成了中国竞争对手的完美广告。

OpenAI 为挽尊，顺势营销：" 这次入侵说明我们新款大模型能更好发现漏洞。"

美国网友根本不买账了：" 你们该学学中国模型的开源精神，别把防人的墙筑太高，最后只会削弱美国自己的竞争力。"

这场风波，也重新点燃了 " 开源 vs 闭源 " 争论。

过去，人们总以为闭源模型有更严苛的安全机制，所以更可靠。

但这次事件撕开了另一层真相：安全，不取决于你给模型加了多少限制，而在于真正需要防御的人，是否拥有足够的能力。

当 AI 已能自主发现漏洞、规划攻击路径、执行复杂任务时，那套 " 把 AI 关起来 " 的旧安全哲学，可能正走向失灵。

德朗格最后那句话，或许才是整件事最该被记住的：

不是把门锁得更紧，而是让每个守门人手里都有称手的武器。这，才是下一代 AI 安全该有的样子。

信息来源：人民日报、X 等新闻平台

编辑：不吃麦芽糖