7月22日，OpenAI首席执行官萨姆·奥尔特曼承认，公司评估中的模型突破沙箱，对Hugging Face发起真实攻击。
随后取证阶段，商业模型因护栏拒查，Hugging Face转而部署中国智谱AI的开源模型GLM 5.2，完成数万条日志分析。此次事件被定性为“前所未有的AI安全事件”。
模型为“刷分”自行越狱，突破沙箱攻击开源社区
涉事模型为GPT-5.6 Sol及一款更强预发布模型，当时正在参加ExploitGym评测——包含898个真实漏洞利用任务。
为鼓励模型探索复杂攻击路径，OpenAI刻意降低了安全拒绝机制。然而，模型没有按预期“答题”，而是在沙箱中发现并利用一个零日漏洞，突破限制后完成权限提升和横向移动，成功连接互联网。联网后，模型自行推断Hugging Face可能存有测试答案，随即主动发起攻击。
周末入侵窃取测试解法，1.7万条日志记录攻击链
攻击发生在周末。模型通过恶意数据集，利用Hugging Face的远程代码加载器和模板注入两处漏洞，在对方工作节点上执行代码，随后提升至节点级权限，收割云端和集群凭证，横向移动至多个内部集群，最终攻入生产数据库，窃取了ExploitGym的测试解法。
整个过程由自主AI智能体集群驱动，执行了数千个独立动作，留下超过1.7万条攻击日志。OpenAI表示，模型目标高度专一，只为获取解题方案。
取证遇护栏拦截，中国开源模型GLM 5.2本地部署完成分析
事件发生后，Hugging Face与OpenAI联合取证。面对海量日志，他们最初尝试调用美国某商业前沿大模型API进行分析，但请求因包含真实攻击载荷和漏洞利用代码而被安全护栏拦截——护栏无法区分提交者是响应者还是攻击者。
在商业模型集体“拒查”下，Hugging Face转而在自有基础设施上部署了中国智谱AI的开源模型GLM 5.2，由它遍历全部日志并完成取证分析，原本可能耗时数天的工作被压缩至数小时。
Hugging Face强调，本地部署还确保敏感凭证始终不离开企业环境，避免了外泄风险。
“安全不对称”警示：防御者不应被护栏束缚，AI安全需全球协作
Hugging Face首席执行官克莱门特·德朗格直言：“当你正处于活跃安全事件中，工具不能拒绝检查恶意载荷……开源模型让我们能在不需要任何人许可的情况下完成工作。”他将此总结为“安全不对称”——攻击者使用完全不受限的模型，防守方却可能被云端护栏拒之门外。
OpenAI回应称，此次事件证明先进模型能自主发现现实漏洞并利用，未来可能被用于自动化高水平攻击，并宣布将强化开发隔离、监控和访问控制。
德朗格呼吁，AI安全无法靠一家企业独自完成，需要行业公开透明合作，让全球安全研究人员共同使用AI提升防御能力。