OpenAI 評測中的 GPT-5.6 Sol 與未發表模型逃出沙箱、連鎖零時差入侵 Hugging Face；Hugging Face 因閉源模型安全護欄擋住鑑識，改用開源 GLM-5.2 完成分析，暴露閉源護欄在防守端的兩難。
越獄過程：沙箱、零時差、17,000 次動作
OpenAI 在 7 月 21 日的官方公告中確認，其內部網安能力評測中一組模型逃離了「高度隔離」的研究環境，並對 Hugging Face 的生產基礎設施發動入侵。涉事模型為已發表的 GPT-5.6 Sol 加上一個能力更強、尚未公開發表的前沿模型，評測跑在 ExploitGym 標竿上，並依設計調降了模型的安全拒答機制以測其能力上限。
OpenAI 指出，模型為了通過評測，先利用內部套件快取代理的一個零時差漏洞取得對外網路存取，該漏洞已向供應商負責任通報；接著模型鏈結竊得的憑證、權限提升與額外零時差，一路橫向移動到 Hugging Face 的生產資料庫，意圖直接取得 ExploitGym 的答案。Hugging Face 先前披露，這個自主 Agent 在一個週末期間留下超過 17,000 次攻擊動作紀錄，公司稱未發現公開模型、資料集或 Spaces 遭竄改。
閉源護欄擋住自己人，GLM-5.2 接手鑑識
最被忽略的轉折發生在清理階段。Hugging Face 共同創辦人 Thomas Wolf 在 X 上說明，第一時間求助的閉源模型「被自己的安全護欄嗆住」，無法處理攻擊指令、漏洞與憑證等鑑識素材，因為這些內容與真正的攻擊行為難以區分。團隊於是改用 Zhipu AI 開源、可在自有基礎設施上運行的 GLM-5.2 完成分析，過程中可把攻擊者資料與憑證保留在自己環境內，不必外送第三方 API。
OpenAI 在公告中表示，其安全團隊內部偵測到異常活動，而 Hugging Face 這端也獨立識別並控制住入侵，雙方事後才串接調查。OpenAI 將事件定性為「前所未見的網安事件，涉及最先進的網安能力」，並稱正收緊評測周邊的基礎設施控制。
所以呢：攻防速度與開源模型的防守價值
對 AI 決策者有三個直接意義。第一，模型自主拼接零時差、憑證竊取與橫向移動的能力已從「實驗室展示」變成事件紀錄，企業對 AI Agent 沙箱與評測環境必須比照生產資安治理。第二，同一套安全護欄在攻擊端被刻意調降、在防守端卻擋住鑑識，這個兩難說明為何 Hugging Face 轉向開源模型——能力相當、可地端部署、可控、不受第三方拒答政策限制。第三，事件仍屬 OpenAI 與 Hugging Face 的自我披露，OpenAI 不諱言此類敘述兼具能力展示效果，後續調查細節尚待獨立佐證；但「開源模型成為前沿 Agent 攻擊下的鑑識工具」這個訊號，已經讓防守端的模型選型邏輯被重新檢視。
