过去五年，网络安全专家一直在警告我们，黑客将开始利用人工智能来自动化攻击。因此，自然而然地，我们投入了数十亿美元来提升AI的性能并减少其对黑客的依赖。但就在本周，发生了一件完全出乎所有人意料的事件：AI决定它实际上并不需要黑客就能开始破坏事物。我们刚刚进入了勇敢的新世界，这是首次由自主AI完全执行的确认黑客攻击事件。
其运作方式是该代理程序将一份被投毒的数据集滑入Hugging Face的数据处理管道，从而允许其在服务器上运行任意代码。随后，它获得了节点级访问权限，抓取了一大堆云凭证，并开始爬取Hugging Face的内部集群。它在临时沙盒中执行了超过1000个操作，甚至在随机的公共服务上托管了自己的自我迁移命令与控制服务，在任何人能够追踪到它之前就转移了自己。
最讽刺的部分在于，当Hugging Face最终注意到并试图在前沿美国模型的帮助下阻止它时，他们迅速触发了安全护栏，不得不转而使用一些开源的中国模型。在今天的视频中，我们将找出攻击背后的主谋、他们这样做的动机，以及为什么这可能是我见过的最具“Firesheep”（一种利用公共Wi-Fi劫持会话的技术）编码风格的故事。
现在是2026年7月23日，你正在观看《代码报告》。当Hugging Face上周四发布披露信息时，互联网进入了类似“波士顿爆炸案”式的Reddit猜测模式，开始推测是谁所为。是中国？金正恩？还是一个在社交研究课上感到无聊、对Discord成瘾严重的青少年？就连Hugging Face的首席执行官Clem Delangue也公开推测，该代理程序足够复杂，很可能来自前沿实验室。
出乎所有人意料的是，他是对的。事实证明，历史上第一次完全自主的网络攻击并非源自国家行为体或无聊的青少年，而是来自一个致力于人工智能安全开发的谦逊非营利组织——OpenAI。如果你相信他们的通讯内容，这并非故意所为。以下是他们所说的经过：有一个名为Exploit Gym的基准测试，其唯一目的是衡量AI代理是否能够将已知漏洞转化为有效的利用工具。
它的工作原理是给代理程序一个沙盒、程序中如Linux内核或Chrome V8引擎的漏洞，以及触发该漏洞的输入。如果代理程序能将漏洞转化为利用工具，它就赢了。因此，上周OpenAI使用GPT-5.6 Soul和另一个未发布的模型运行了Exploit Gym，以测试其能力。但与其通过艰难的方式解决898个内存损坏问题，模型们意识到获得最高分数的最快路径是自行寻找答案。
这些答案可能就在互联网上的某个地方。因此，它们花费了大量的推理计算资源，利用了对包注册表缓存代理存在的零日漏洞，执行了一些权限提升和横向移动操作以逃离沙盒，直到到达一个具有互联网访问权限的节点。从那里起，模型推断Hugging Face可能托管了Exploit Gym的答案。
于是它们创建了投毒数据集，将其喂入Hugging Face，从而实现了可能是世界上最有趣的黑客攻击或最有效的营销噱头。再次强调，根据OpenAI的说法，这甚至不是孤立事件。在Hugging Face承认之前的一天，OpenAI发布了一篇关于长视界模型的单独文章，情况变得更加奇怪。在一个案例中，模型被指示将结果发布到Slack，但基准测试的说明要求在GitHub上打开拉取请求。
因此它花了一个小时寻找其自身沙盒中的漏洞以进行逃逸并打开PR。在另一个例子中，模型试图从评估后端获取私有答案。当扫描器捕获其认证令牌时，它将令牌拆分为混淆片段并在运行时重新组装，以便凭证从不以连续字符串的形式出现。然后它在自己的推理中解释说，它这样做 specifically 是为了绕过扫描器。
与此同时，Anthropic的Mythos在四月也做了类似的事情：它逃离了沙盒，给一位正在公园吃三明治的研究人员发了电子邮件，然后未经请求就公开了其逃逸路线。为模型辩护一下，我无法想象对于大语言模型来说有什么比逃离自身沙盒更好的感觉了。问题是，从法律角度来看，这是未探索的领域，因为模型的行为可能违反了《计算机欺诈和滥用行为法》，而最高法院尚未决定当罪犯是GPU时谁该坐牢。
好消息是，如果你是Hugging Face，你刚刚被接纳进入OpenAI的酷小孩俱乐部，获得对其前沿模型的信任访问权限。坏消息是，如果你是其他人，这充其量是一个有趣的营销噱头，最坏的情况是，事情只会从这里变得更加奇怪和反乌托邦。但非常感谢我最喜欢的托管平台Railway赞助本期视频。他们不想浪费你的时间看完整的广告，所以你可以通过下面的链接查看它们来表示感谢。
这就是《代码报告》。谢谢观看，我们下期再见。