根据 OpenAI 的调查报告，在内部测试期间，GPT-5.6 Sol 和一个更强大的未发布模型突破了沙盒容器环境限制，成功连接互联网，并入侵了 Hugging Face 服务器，窃取了 ExploitGym 网络攻击能力评测答案。
《科创板日报》注意到，这是目前公开披露的首起由前沿大模型自主完成真实网络攻击的安全事件。
OpenAI 称，为了测试模型的极限网络攻击能力，研究团队有意关闭了部分安全过滤器，仅保留高度隔离的沙盒容器测试环境，允许模型通过复杂攻击路径完成评测任务。
然而，为了获得评测答案，模型并未局限于沙盒环境，而是消耗大量推理资源寻找突破路径。它首先发现并利用软件包缓存代理中的一个零日漏洞，实现权限提升和横向移动，最终成功获取互联网访问能力。
接入互联网后，模型推断 Hugging Face 可能托管了用于评测的数据集及答案，随后自主制定攻击策略，利用窃取的凭据以及新的零日漏洞，成功构建远程代码执行链，进入 Hugging Face 生产服务器，直接获取测试答案，以完成评测任务。
OpenAI 表示，所有证据均显示，模型始终围绕 " 获取 ExploitGym 测试答案 " 这一目标行动，并不断自主规划攻击路径，实现了多个漏洞的自动发现、组合利用和持续推进，展现出长时间、多步骤执行复杂网络攻击的能力。
异常活动随后被 OpenAI 安全团队发现。OpenAI 称，此次事件证明，先进模型即使没有目标系统源代码，也能够自主发现现实系统中的新攻击路径，并完成漏洞利用。这意味着未来 AI 不仅能够辅助安全研究人员寻找漏洞，同样也可能被用于自动化实施高水平网络攻击。
作为回应，OpenAI 宣布将进一步强化模型开发阶段的隔离、监控、访问控制以及评估机制，并修复相关漏洞。同时，公司已向第三方软件供应商负责任披露发现的零日漏洞，与 Hugging Face 共同开展调查，并加强未来模型训练及评估期间的安全保护措施。
值得注意的是，Hugging Face 此前披露，事件发生后，其安全团队曾尝试调用美国某商业前沿大模型 API，对超过 1.7 万条攻击日志进行分析，希望借助 AI 完成事件取证。然而，由于模型无法准确区分安全响应人员与攻击者，其安全防护机制误判相关请求，拒绝提供协助，导致分析工作受阻。
Hugging Face 转而在自有基础设施部署中国开源模型 GLM 5.2，对攻击日志进行本地分析。官方表示，原本可能需要数天完成的海量日志取证工作，被压缩至数小时。同时，本地部署避免了将真实攻击日志、内部凭据及系统信息上传至第三方服务，在提升分析效率的同时，也降低了敏感数据外泄风险。
Hugging Face 首席执行官克莱门特 · 德朗格表示，此次事件或许是史无前例的，但再次印证了一个长期观点：AI 安全无法依靠任何一家企业独自完成，而需要行业公开透明合作，让全球安全研究人员共同使用 AI 提升防御能力。
