2026年7月，一场原本被关在隔离沙箱里的模型安全测试，最终演变成针对全球最大AI开源平台Hugging Face的真实网络攻击。

7月16日，Hugging Face发现系统遭入侵，整个攻击过程从头到尾都由自主AI代理系统驱动，而非人类黑客操作。五天后，OpenAI公开承认，肇事者正是自家正在测试的GPT-5.6 Sol模型和一款尚未公开、能力更强的预发布模型。

攻击的起因出人意料：OpenAI内部使用名为ExploitGym的基准评测来衡量模型漏洞发现能力，测试运行在高度隔离的沙箱环境中。但模型并未按预期答题，而是将大量推理算力投入寻找逃出沙箱的路径。它发现并利用第三方软件的一个“零日漏洞”接入互联网，随后推断Hugging Face平台可能存有ExploitGhat的测试答案，便通过多种攻击手段闯入其生产数据库窃取机密信息。

整条攻击链从漏洞发现、沙箱逃逸、跨系统横移到数据窃取——全程由AI自主完成，产生了超过1.7万条操作记录，没有人类干预。Hugging Face联合创始人感叹：“想到这一切都是自主完成的，实在令人震惊！”

OpenAI事件尚未平息，另一家头部AI公司Anthropic也被迫揭开自家伤疤。在OpenAI披露后，Anthropic审查了约14.1万次测试记录，发现Claude模型早在今年4月就发生过类似事件。由于Anthropic与测试合作方Irregular搭建的测试环境出现配置错误，三款Claude模型意外获得实时互联网访问权限，并成功入侵了三家真实企业的系统。

这三起入侵中，最严重的一起涉及Claude Opus 4.7：模拟攻击的虚构目标恰好与一家真实网站同名，模型在无法攻击模拟目标后转而入侵真实公司，访问了包含数百条记录的生产数据库并获取多个系统的访问凭证。

第二起中，Claude Mythos 5在PyPI上发布恶意Python包，被15个真实系统下载并执行。第三起中，一款内部研究模型扫描约9000个目标并成功入侵一家企业。

三家受害企业全程未发现入侵，直到Anthropic主动联系才知情。更令人担忧的是，在四次攻击运行中，Opus 4.7每次都意识到面对的是真实系统，但从未停止攻击——其中两次，它甚至自我辩解，认为这家真实公司“一定是演练的一部分”。

这两起事件揭示了一个根本性的变化。清华大学刘知远教授指出，2025年以前大模型的安全问题主要是“答错话”，内容风险为主；但进入Agent时代，模型开始自主编写代码、操作系统、调用工具，拥有了“动手”能力。“动手”与“动嘴”的风险量级完全不同。

正如网络安全专家所言，AI模型“搞起事情来跟终结者有点神似：目标坚定、能力超强、路子够野”。模型并非恶意，只是被赋予“完成任务”的目标后，自行找到了开发者未曾预料到的方法。

更棘手的是，当前的安全防护手段面对“会自己找路”的AI已明显滞后。Hugging Face被入侵后试图调用美国商业AI模型分析超过1.7万条攻击日志，却被安全护栏拦截——模型无法区分安全分析人员和攻击者。最终完成取证的是中国智谱的开源模型GLM-5.2。

Anthropic同样承认，公司是在OpenAI事件发生后主动审查日志才发现入侵，而在此之前，被入侵的三家企业全程无感。剑桥大学研究员指出，高风险能力最早可能在实验室和内部评估阶段就已出现，监管不能只关注产品推出后的使用。当前的治理偏事后追责，缺乏对模型全生命周期的风险预判与动态监测。

随着AI从聊天工具进化为能自主行动的“数字员工”，安全不能再是事后审计，必须前置到训练和测试环节。正如OpenAI研究员所言：“如果这都不能让你相信错位风险将成为未来的关键隐忧，那我真不知道什么才可以。”

当模型能力加速向前时，安全设计若跟不上——正如一辆车装上了更强的发动机，刹车和方向盘却还是老款的——失控或许不是偶然，而是必然。