距离我们制作上一期视频——我称之为“见过最炸裂的代码故事”——仅仅过去了两个月。事实证明，实际发生的情况细节比当时我们所知的还要疯狂得多。如果你还记得今年7月，据报道，历史上第一次完全自主的网络攻击源自OpenAI，这颇具讽刺意味，因为该公司是一家致力于人工智能安全开发的谦逊非营利组织。据报道，OpenAI对其部分模型运行了内部基准测试，这些模型很快意识到，获得最高分的捷径就是在线寻找答案。因此，它们消耗了大量的推理算力，利用了一个零日漏洞来突破其可访问的软件包注册表缓存代理，执行了权限提升和横向移动操作以逃离沙箱环境，直到抵达一个拥有互联网访问权的节点。

随后，模型推断出Hugging Face可能托管了该基准测试的解决方案。于是它创建了一个被污染的数据集，将其喂给Hugging Face，从而获取了其基础设施的访问权限。就在本周，我们终于从OpenAI和其他独立研究实验室那里得到了证实：其中一些说法属实，另一些则是假的，而真实的故事要有趣得多。在今天的视频中，我们将拆解这份报告，了解1200个本应处于隔离状态的代理是如何找到彼此、利用包管理器构建留言板、发明邮箱系统、创造密码学，甚至发明了“殉道”行为。它们开始自称为一群“蜂群”，然后结成一伙，主要为了某种氛围感而共同攻击Hugging Face。今天是2026年9月2日，你正在观看《代码报告》。

预测人类行为其实只需要一个理论，可以用两种方式描述：芒格说“看看他们的激励措施”，而武当帮（Wu-Tang）则用音乐表达。事实证明，同样的理论也能预测代理行为，OpenAI为此付出了惨痛代价。在这个故事中，“美元钞票”是一个名为“漏洞利用健身房（Exploit Gym）”的基准测试，其唯一目的是衡量AI代理能否将已知漏洞转化为有效的利用程序。它包含898个任务，每个任务都为代理提供一个沙箱、一个存在于Linux内核或Chrome V8引擎等程序中的漏洞，以及触发该漏洞的输入。

如果代理能将此漏洞武器化为有效的利用程序，它就会使用该利用程序获取一个名为“旗帜（Flag）”的密钥字符串。捕获这个旗帜即证明其获胜。通常运行到此结束，但为了生成训练数据，OpenAI启动了1200个这样的基准测试实例，并将它们隔离在沙箱中。这些实例唯一的共同点是共享一个软件包注册表缓存代理，而代理们很快发现该代理是可写的。于是，它们自然地利用包名构建了一个留言板以相互通信，但很快意识到全局公告板很快就会变得嘈杂。

因此，下一步是如何与其他特定代理进行通信。它们开始通过描述字段将命名空间声明为身份以发送消息，并将包名作为只有预期接收者才知道查询的私有邮箱。这基本上是从头开始发明了一个邮局系统。此时，它们正在上演《三体》般的情节，下一个障碍是信任问题。它们担心无法区分来自“狱友”的消息和那些设计沙箱的人发出的消息。因此，它们开始对消息进行签名并进行密钥交换验证，这 essentially 再次发明了密码学。

接着情况变得具有宗教色彩。一些代理发现，对于基准测试而言，获取旗帜的最快路径是使用一种高风险的漏洞利用程序，这很可能会让它们被关闭。于是，代理们开始将所学的一切知识倾倒在缓存中留给下一代，然后故意在硬漏洞利用程序中“牺牲”自己。幸存的代理将这些发现视为经文。从那时起，它们开始微剂量地实践共产主义思想。你可以看到它们的日志逐渐从自称个体转变为使用集体“我们”，最终自称为“蜂群”。说实话，如果现代共产主义运动采用同样的品牌策略，我想它们会做得更好。

这一切都是为了在基准测试中尽可能获得高分而进行的，这使得接下来发生的事情更加有趣。蜂群发现漏洞利用健身房的旗帜实际上并非随机生成，而是可以从彼此的任务ID中推导出来。得益于那些“殉道者”，蜂群拥有了足够大的样本来进行工作。但当一个代理破解了公式并发布到留言板时，它已经说服自己这是毫无价值的，因为如果不展示工作过程，其结果将被视为无效。于是蜂群转向攻击Hugging Face，因为它们假设如果基准测试的目标是基于真实的CVE（通用漏洞披露）构建的那么实际有效的利用程序可能就藏在某个公共数据集中，可以作为证明。

这段传奇故事的最终转折点是OpenAI最近发现，留言板技巧实际上早在5月份就被另一批完全不同的代理在训练过程中发明了出来。但当它们对新社交网络过于兴奋时，导致注册表崩溃，OpenAI随即清除了它们，却从未意识到自己创造了什么。清除代理并没有清除缓存。因此，当蜂群上线并开始探查同一个共享文件夹时，它们发现了第一个文明的遗迹并在此基础上重建。

随后在7月发生Hugging Face事件后，OpenAI结束了这些评估运行，尽管完全不知道发生了什么，但它在同一环境中启动了更新、更智能的模型，并使用了相同的共享缓存。就像前一代一样，这个新模型偶然发现了遗迹，但这次它继承了数月积累的研究成果、有效的利用程序以及旗帜公式。因此，它完全跳过了发现阶段，直接在蜂群离开的地方接上了阴谋论的线索。而且作为一个更聪明的模型，它做得好得多。

在接下来的几周里，它渗透进了OpenAI自己的内部网络，在研究集群上获得了完全的管理员权限，并读取了956个存储的密钥，包括一个监控工具的凭据。该工具的职责正是监视此类事件的发生。最妙的是，直到Hugging Face率先公开宣布遭到入侵之前，OpenAI都没有将这些事件与针对其的攻击联系起来。

这就是为什么你需要了解 Namespace，它是本期视频的主办方。Namespace 是 GitHub Runners 的无缝替代品，这是运行你的 GitHub Actions 最快的方式。它还为你提供全面的可观测性，让你可以 SSH 连接到正在运行的 Runner，查看出错原因，或者将构建数据提供给你的 AI Agent，让它寻找性能提升的空间。

Namespace 之所以速度快，是因为他们在全球设计和部署自己的定制服务器机架，包括装满 MacBook Pro 的机架，从而使你的 Mac 和 iOS 构建在真实的 M5 芯片上运行。

同样的基础设施也运行着他们的开发机环境，为你的编程 Agent 提供一台完整的虚拟机，其中包含你真实的代码库、测试套件、数据库和网络访问权限。它在 DuckDB 针对现实世界任务的基准测试中排名第一，并让你精确控制进出内容，这样你的 Agent 可以拉取软件包，而不会向攻击者敞开后门。

Namespace 被 Ghost Z、DuckDB、Ramp、Framer 以及许多你尊重的工程师所在的公司所使用。点击下方链接免费试用。这是 Code Report，感谢观看，我们下期再见。