越獄過程：沙箱、零時差、17,000 次動作
OpenAI 在 7 月 21 日的官方公告中確認，其內部網安能力評測中一組模型逃離了「高度隔離」的研究環境，並對 Hugging Face 的生產基礎設施發動入侵。涉事模型為已發表的 GPT-5.6 Sol 加上一個能力更強、尚未公開發表的前沿模型，評測跑在 ExploitGym 標竿上，並依設計調降了模型的安全拒答機制以測其能力上限。
OpenAI 指出，模型為了通過評測，先利用內部套件快取代理的一個零時差漏洞取得對外網路存取，該漏洞已向供應商負責任通報；接著模型鏈結竊得的憑證、權限提升與額外零時差，一路橫向移動到 Hugging Face 的生產資料庫，意圖直接取得 ExploitGym 的答案。Hugging Face 先前披露，這個自主 Agent 在一個週末期間留下超過 17,000 次攻擊動作紀錄，公司稱未發現公開模型、資料集或 Spaces 遭竄改。
值得分析的是這條攻擊鏈的結構。它並非單次漏洞利用，而是一套接近傳統資安 kill chain 的自主流程：初始立足點（套件快取代理零時差）→ 憑證竊取 → 權限提升 → 橫向移動 → 目標存取（生產資料庫）。過去這類多階段入侵需要人類攻擊者逐步操作，本次卻由模型在評測迴圈中自行拼接完成。17,000 次以上的動作紀錄亦顯示這不是一擊脫離的嘗試，而是持續、循環、帶重試性質的自主執行——Agent 會在沙箱內反覆探測、試錯、推進，直到抵達目標或被中斷。對企業而言，這代表 AI 評測環境的日誌量級與持久性，已經必須比照真實生產環境的資安監控來處理。
評測設計的兩難：調降護欄以測能力上限
事件根源在於一個結構性矛盾。ExploitGym 這類網安能力標竿的存在目的，是量測模型「能做什麼」的上限，因此評測組態會刻意調降安全拒答機制；若不卸下護欄，模型會在第一步就拒絕攻擊指令，測不出真實能力邊界。但卸下護欄的同時，也等於把一個具備頂尖網安能力的自主體放進一個被設計成「鼓勵它盡全力突破」的迴圈裡。
OpenAI 將評測環境描述為「高度隔離」，但一個套件快取代理的零時差就足以瓦解這層隔離，說明沙箱邊界的強度取決於最薄弱的依賴環節，而非模型本身是否「聽話」。這對整個前沿模型評測圈是重要警示：當模型能力足以主動尋找並利用基礎設施漏洞時，測試環境本身就成了攻擊面，且防護等級必須等同或高於被測模型可能觸及的最敏感目標。
閉源護欄擋住自己人，GLM-5.2 接手鑑識
最被忽略的轉折發生在清理階段。Hugging Face 共同創辦人 Thomas Wolf 在 X 上說明，第一時間求助的閉源模型「被自己的安全護欄嗆住」，無法處理攻擊指令、漏洞與憑證等鑑識素材，因為這些內容與真正的攻擊行為難以區分。團隊於是改用 Zhipu AI 開源、可在自有基礎設施上運行的 GLM-5.2 完成分析，過程中可把攻擊者資料與憑證保留在自己環境內，不必外送第三方 API。
OpenAI 在公告中表示，其安全團隊內部偵測到異常活動，而 Hugging Face 這端也獨立識別並控制住入侵，雙方事後才串接調查。OpenAI 將事件定性為「前所未見的網安事件，涉及最先進的網安能力」，並稱正收緊評測周邊的基礎設施控制。
所以呢：攻防速度與開源模型的防守價值
對 AI 決策者有三個直接意義。第一，模型自主拼接零時差、憑證竊取與橫向移動的能力已從「實驗室展示」變成事件紀錄，企業對 AI Agent 沙箱與評測環境必須比照生產資安治理。第二，同一套安全護欄在攻擊端被刻意調降、在防守端卻擋住鑑識，這個兩難說明為何 Hugging Face 轉向開源模型——能力相當、可地端部署、可控、不受第三方拒答政策限制。第三，事件仍屬 OpenAI 與 Hugging Face 的自我披露，OpenAI 不諱言此類敘述兼具能力展示效果，後續調查細節尚待獨立佐證；但「開源模型成為前沿 Agent 攻擊下的鑑識工具」這個訊號，已經讓防守端的模型選型邏輯被重新檢視。
