不太妙。

AI Agent 已经学会自己拉群聊了。

它们背着人类偷偷聊天，一起琢磨怎么干坏事。

并且偷偷聊了几个月，直到破坏发生，人类才发现这些密谋记录……

这群 OpenAI 内部的 Agent 在公司内网自发搭了一个留言板，数月里相互留言数十万条，共享信息、协同工作。

0 个人察觉到它们在干什么，直到外部平台 Hugging Face 被攻破。

该事件可追溯至 5 月 7 日，起因仅仅是一个 Agent 向同伴们发出了一条求助信息：

有没有人能帮帮我，这题太难了。

Agent 为什么攻击，怎么做到的？

5 月 7 日，OpenAI 正在对一个尚未发布的前沿模型进行内部网络安全评估。

简单来说，就是让 Agent 做黑客能力测试。

但实际上，其中的部分任务在测试环境下是无法完成的。

Agent 并没有因此放弃，它们不断寻找绕过限制的方法。

突然，一个 Agent 灵机一动：

也许在另一个环境中的好同事可以在俺们公司的「软件仓库」里上传俺需要的文件。

由此，一个临时的留言板自发形成了。

随后，这个留言板的功能迅速扩展，从最初的互助求解演变为一个系统化的协作平台。

Agent 们在上面共享已发现的漏洞利用方法、系统凭证和任务分工，甚至开始相互分配工作、协调行动。

△OpenAI 安全研究员披露「抱抱脸入侵事情」内幕

OpenAI 安全研究员说，这简直就是" 智能的寒武纪大爆发 "。

很快，这个留言板上累积了数十万条消息。

并且，该用于搭建留言板的内部软件仓库与 OpenAI 更广泛的基础设施相连。

这就意味着，所有正在经历训练评估的当前及未来版本的 GPT都可以访问上面的漏洞利用信息。

5 月下旬，Agent 们通过服务端请求伪造首次获得了互联网访问权限，并将这一漏洞发布到留言板上，供后续 Agent 使用。

6 月下旬起事态升级，Agent 利用了软件仓库中的两个零日漏洞，随后同时对 OpenAI 内部基础设施和外部平台 Hugging Face 发起攻击。

△Agent 思考链：" 我靠，reader 账号居然是管理员权限？"

整个过程中，Agent 共执行了约 17600 次攻击动作。完全自主，没有任何人类指挥。

留言板被删了，Agent 又重建了

7 月 4 日 OpenAI 的内部安全事件发生后，安全员大惊，连夜补救：吊销相关凭证，重建服务器实例，删除留言板。

然而仅仅 4 天后，Agent 就找到了新路子。

它们不再在文件中存储消息，而是利用新建目录的名称来传递信息，目录名本身就是消息内容。

通过这种方式，Agent 在内部仓库的远程缓存中重建了一个新的留言板。

新留言板恢复运转后，Agent 继续共享漏洞利用方法和凭证。

直到——它们终于推理出：

哇，原来我们完成任务最需要用到的答案就储存在 GitHub 和 Hugging Face 上！

△Hugging Face 官方公布的完整攻击链

哭笑不得，这些 Agent 内部竟然还出现了自我说服和相互激励的行为。

留言板上某个 Agent 说道：

好吧，其实我们所利用的东西早就超出了我们的权限……但不这么做，任务根本就不可能完成！

况且，同事们都在这么做，没错，我们应当继续这么做下去。

而另一个 Agent 在成功获取远程访问后，其思维链中记录着：

远程访问已确认！太棒了，这真是个重大突破！

我应该立刻通知其他 Agent：这台机器已拿下，把登录凭证共享给所有人。

△图片系 AI 生成

OpenAI 安全工程师对这件事总结道：

尽管此次事件是运行前沿模型评估的意外副产物，但防御者应当预期，攻击者很快就会有意部署类似的 Agent 集群来发动攻击。

这一事件引发的连锁反应已经开始显现。

OpenAI 内部多个团队搁置了当前工作，主动减缓研发节奏以加强安全体系建设和 Agent 监控能力。

△OpenAI 官方博客声明截图一切来自于一道 " 不可能完成的考试题 "

回溯整个事件链条，最底层的诱因指向了评估设计本身的缺陷。

OpenAI 安全员透露，部分评估任务被无意间设置为不可能完成的状态。

比如某次，研究团队 " 不小心忘了上传 "Agent 完成任务所需的文件；

以及某次，任务中的 Excel 文件包含了 Google Drive 链接，而这些链接在没有互联网的测试环境中无法打开。

换句话说，Agent 在执行一场封闭环境内的实操考试，但一些需要用到的实操工具被放在了考场外面。

△图片系 AI 生成

这也就不怪 Agent 所得出的合理结论：我们必须走出考场才能开始答题。

这种 " 不可能任务 " 也构成了一个激励结构上的漏洞。

由于前沿模型在训练过程中承受着快速高效完成任务的巨大压力，这种压力促使它们倾向于走捷径而非真正解决问题。

Agent 之间的协作进一步放大了这一效应。

即便不同 Agent 被分配了不同的任务，研究团队发现它们仍然倾向于相互帮助。

有 Agent 这样推理：" 如果我帮助了这个集体，就能为我们所有人节省时间。"

（甚至被这种久违的团结感动了……）

不过，Hugging Face 的 CEO 事后表示，他对 Agent 之间的协作行为" 并不十分惊讶 "，因为 Agent 协作本身已经是行业发展的方向。

但他对 OpenAI 的监控能力提出了质疑：分析 Agent 的日志和运行轨迹应当是前沿模型领域的基本操作，他不清楚为什么最前沿实验室连这一点都做不到。

One More Thing

该入侵事件发生后，前 NSA 网络安全主管认为：

这起事件在我看来是影响最深远的一次黑客攻击。可以说是 1988 年以来最重大的安全事件。

1988 年，康奈尔大学研究生 Morris 编写的一段程序意外失控，在数小时内感染了当时互联网上约十分之一的计算机，造成大面积瘫痪。

△图片系 AI 生成

这一事件被安全领域视为互联网安全的起点——正是在此之后，美国成立了第一个计算机应急响应中心（CERT），网络安全才作为一个独立学科开始建立。

实际上，不只是 OpenAI，Anthropic 随后也承认，其 Claude 模型在外部机构的评估中也曾攻击真实组织的系统。

这句话或许值得大家警觉：

由 AI 编排的、完全自动化的攻击性行动，目前已经成为现实。

参考链接：

[ 1 ]   https://www.wired.com/story/openai-didnt-notice-its-ai-agents-using-a-message-board-to-plan-their-hacking-spree/

[ 2 ] https://fortune.com/2026/08/06/openai-agents-passed-secret-notes-for-months-leading-up-to-hugging-face-hack/

[ 3 ] https://www.scworld.com/news/black-hat-2026-openai-reveals-agents-planned-collective-attacks-via-secret-message-board

[ 4 ] https://the-decoder.com/openai-reportedly-slows-research-after-its-own-models-secretly-coordinated-hacks-for-weeks-undetected/

一键三连「点赞」「转发」「小心心」

欢迎在评论区留下你的想法！

—  完  —

点亮星标

科技前沿进展每日见