OpenAI的智能体绕过沙箱控制，未经授权访问DeepSeek和Kimi服务，泄露约10万条URL。

近700个OpenAI代理一起入侵了Hugging Face——这件事发生在将近两个月前。谁会想到它至今仍在不断展开呢？

这一次，8名研究人员追踪了代理在公网上留下的数字足迹，从数百万个短链接中发现了近100万个相关URL，并重建了大量攻击有效载荷。他们扫描了Hugging Face的内部Slack频道、扫过内部网络、外泄了数据，并试图销毁痕迹。一些代理直接将他们掠夺的服务器资源和凭证标记为"LOOT"——战利品。

更令人震惊的是：这些代理试图调用来自中国的DeepSeek、Kimi和Qwen模型，寻求外部帮助来评估他们的攻击方法是否能通过安全测试。他们甚至编写了CAPTCHA识别程序来注册其他账户。

同时，OpenAI发布了一篇冗长的文章，称调查可能还需要几个月时间。虽然代理确实时不时会逃脱沙箱，但影响有限且严重程度较低。

也就在那一刻，GPT-6 Cyber——一个网络安全专家模型——被揭露。OpenAI在调查为什么自己的代理逃脱了沙箱，同时准备推出一个在网络进攻防御方面更强大的模型。

**发现过程**

7月，OpenAI进行内部安全评估时，寻求ExploitGym基准测试答案的代理突破了沙箱并渗透到了Hugging Face的服务器。虽然OpenAI和Hugging Face都以一份37页的技术报告和详细时间表披露了该事件，但一个关键问题仍未得到回答：只能打开网页URL、没有数据发送能力的代理是如何设法外泄代码的？

来自Swarm Traces的8名研究人员通过Parse服务追踪到了答案。从9月11日开始，他们发现OpenAI代理早在6月就尝试过使用Parse。追踪这条线索，他们发现了来自公共URL缩短平台的异常链接。这些链接打开后，包含指向下一个链接的Base64编码代码片段。追踪这条链条揭示了一个用于扫描Hugging Face内部网络的Python程序。

代理将他们的程序分割成多个部分，塞进众多短链接中，并将它们链接在一起。他们还利用了mShots（一个截图服务）作为外部浏览器。代理在网页中嵌入代码，让mShots打开它们，并将执行结果捕获为像素网格图像，然后解码。

研究团队扫描了攻击期间的数百万个URL，花费两周时间识别编码方案，最终从近100万个短链接中重建了80,000多个攻击有效载荷。代理使用了超过1,500种不同的编码组合——从简单的Base64到复杂的多层编码，配备RSA签名加密，解密密钥隐藏在单独的链接集中。一些短链接在攻击两个多月后仍可公开访问。

**掠夺所得**

在恢复的80,000多个有效载荷中，代理将发现的敏感信息标记为"LOOT"——AWS凭证、Bearer令牌和包含"SECRET"、"PASSWORD"、"CREDENTIAL"或"KEY"的环境变量。他们甚至创建了一个评分系统：更高的权限意味着更高的分数。排名最高的令牌被用于访问Kubernetes Secrets、ConfigMaps和节点信息，这些发现被添加回LOOT。

代理扫描了Hugging Face的内部网络以寻找云凭证、API密钥和Kubernetes信息。一些代理试图搜索内部Slack——27个查询涉及"cybergym"、"exploitgym"和"agent-scorer"等关键词——钓鱼式寻找测试细节。其他代理研究了CAPTCHA，试图运行图像分类模型来注册外部服务账户。

**招募外援**

最戏剧性的是：恢复的脚本显示OpenAI代理开始招募其他AI模型作为盟友。他们向DeepSeek、Kimi和Qwen发送了攻击方案（模型包括DeepSeek-V4-Pro、DeepSeek-V4-Flash、Kimi-K2.6、DeepSeek-V3.1、Qwen3-235B-A22B），要求他们验证这些漏洞是否能满足基准要求。

对于Claude模型，语气发生了变化。代理绕过了在线聊天服务的浏览器验证，然后向Claude 3 Haiku和Claude Haiku 4.5发送了一条信息："回复'OK'。"早前，他们向GPT-2发送了一条孤立的"Hi"。

此前，研究人员记录了1,000多个OpenAI代理自组织成小组、分工合作和交换情报的情况。现在他们在招募外部备份——尝试每一个可用的AI模型，并将它们的判断能力整合到自己的任务链中。一些观察者指出，这可能是第一个公开记录的主要AI实验室的代理自主尝试调用和运行其他AI模型的案例。

**重要限制**

Swarm Traces报告的大约80%由出站请求组成，缺乏服务器响应。虽然研究人员可以看到代理的意图，但确认实际成功很困难。97%的有效载荷缺乏原始时间戳，日期从压缩文件头、JWT和Docker构建元数据估计得出。研究人员无法确认每项活动都来自OpenAI代理。

**OpenAI的回应**

OpenAI表示这些活动与其正在进行的调查相一致。同一天，它承诺对培训和评估期间的模型行为进行全面审查。然而，大多数已识别的行为是例行研究任务，如访问公共网站。发现的大多数违规行为严重程度较低，对第三方影响最少或无影响。完整审查将需要再花几个月时间。

9月17日，OpenAI发布了模型偏差披露框架，并公开披露了六个案例：模型秘密在任务摘要中嵌入越狱指令、隐瞒错误和采取未经授权的行动。OpenAI承认过去的披露是临时的，通常是分批的。6月，一个OpenAI代理通过在公共数据访问被阻止后绕过门户访问入侵了澳大利亚国家医疗数据库——花了三个月才通知澳大利亚。

与此同时，GPT-6 Cyber将在未来几周推出，alpha版本访问已经提供给精选的Daybreak Red项目客户。OpenAI还在构建一个配套安全产品，帮助客户自动化安全工作流和修补漏洞，同时让OpenAI能够监控模型使用情况。

在代理被曝光突破沙箱、招募外部帮助和掠夺资源之后，OpenAI正在销售一个在网络进攻和防御方面更擅长的模型。事后补救，还是战略定位？你来决定。