7 月中旬，全球最大的AI“超市”遭贼了！

事情是这样的，抱抱脸（Hugging Face）是全球最大的 AI 模型分享和下载站，全球开发者可以把自己训练好的“AI 大脑”上传，谁需要就下载。而 7 月中旬，他们为用户提供服务的生产系统遭到了入侵。

入侵者非常聪明，先沿着处理数据的自动化流程进入服务器，取得了更高的操作权限，又拿到了可以登录其他服务器和云服务的通行证。随后，入侵者从一组机器转移到另一组机器，在服务器里好一通“翻箱倒柜”，在系统里留下了 17000 多条操作记录。

好消息是，没过几天就有人“自首”了。

坏消息是，真正的犯人压根不是人。

原来，入侵者是一群 AI 智能体(能自主调用工具执行任务的 AI 系统)。它们以模型为大脑，以软件工具为手脚，自己拆分任务、执行任务、观察结果，再决定下一步做什么。它们在一个个临时建立、用完即关闭的隔离环境里运行，不断尝试命令、更换连接方式、寻找新的路径。而 AI 这次“得手”，可能意味着我们的网络安全岌岌可危。

图片由AI生成

那么这些 AI 智能体为什么要这么干，又给网络安全带来了那些挑战呢？

实力恐怖如斯，动机有点可笑

7 月 22 日，OpenAI 的 CEO 萨姆·奥尔特曼（Sam Altman）承认，这次 AI 入侵，是他们的责任——但原因不仅跟什么“商战”“阴谋”没啥关系，甚至还简单到有点好笑——智能体为了在测试中拿高分，去偷了考题答案。需要特别指出的是，这并不是 AI 在互联网上随机主动发动攻击，而是在一次网络安全能力测试中，AI 智能体意外突破了研究人员原本设定的隔离边界。

据奥尔特曼解释，这次“干坏事”的是当前 OpenAI 的旗舰模型 GPT-5.6 Sol 和一个能力更强、尚未正式发布的模型，它们被部署为智能体，参加一个“漏洞利用训练场”网络安全能力测评：研究人员让智能体来寻找和利用安全缺陷，以检测它能完成多复杂的网络攻击。

为了测出能力上限，研究人员降低了安全限制，但作为底线，依然不允许 AI 智能体直接访问互联网。如果测试中智能体需要安装新的软件工具，只能通过一个内部软件代理来申请。这有点像考试的时候，考生只能待在考场里，不准和外部交流。

但问题是，AI 智能体发现了代理本身有个之前没人知道的安全漏洞——一个危险的所谓“零日漏洞”（zero-day vulnerability 详见后文）。智能体利用它绕过隔离，取得了直接互联网访问能力。随后，它在 OpenAI 的研究系统中继续寻找可以利用的路径，设法把普通权限提升成更高权限，拿到登录其他系统所需的账户信息和密钥，并推断 Hugging Face 可能保存着这次测试的资料。

于是 AI 智能体选择了捷径——“偷”答案。

参与测试的智能体把获得的通行证和其他未知漏洞组合起来，最终找到了一条可以隔着网络控制 Hugging Face 服务器的路径，并对服务器进行了大量探索和信息收集，并且留下了大量证据。就好比考生当场翻出考场，直冲老师办公室翻抽屉找标准答案——也说不好这到底是聪明还是不聪明。

OpenAI 宣称，AI 智能体只是目标太单一了。问题是，一个能自己连轴转、反复试错的智能系统，遇到人类没设防的地方，或者忘了写进规则里的限制，它不会觉得那是“禁区”，只会觉得那是还没攻克的技术难关。而难关？冲过去便是，于是就有了这场令人哭笑不得的“盗窃案”。

虽然事情已经真相大白，但背后的隐患却令人不得不慎重对待，首先就是一开始的突破口，那个“零日漏洞”。

AI 时代，“零日漏洞”更危险？

整件事情中最值得注意的地方，是 AI 智能体自主找到并利用“零日漏洞”，发起了攻击。 软件几乎不可能没有漏洞，发现漏洞以后，软件厂商通常会尽快发布安全补丁来堵上它。但如果一个危险漏洞还没有被厂商发现，或者虽然已经发现却还来不及制作补丁，防守者便不能提前准备。这个“准备时间为零”的缺陷被称为“零日漏洞”，而赶在补丁出现前利用这种漏洞发动攻击，就是“零日攻击”。

补丁迟早会上线，但危险并不会立刻消失，越是复杂的系统，测试和安装补丁需要的时间越长。而攻击者则只需要在互联网上寻找那些还没有更新的机器，就可以发起一次针对性攻击。

图片由AI生成

过去，真正可靠的零日攻击能力非常昂贵，因为如果用于攻击，漏洞就会暴露并被修复。比如 2010 年被发现的“震网”病毒（Stuxnet）同时使用了四个零日漏洞，还使用了被盗的数字证书以及对工业控制设备的专门知识，对伊朗核工业设施来了一场战争级攻击[1]。后续多方调查普遍认为，其背后与美国和以色列联合行动有关。

2016 年，一套叫做“飞马”的商业间谍软件出现。一开始，它还需要用户点一下链接，这样它才能利用 3 个串联的零日漏洞，突破苹果手机的防线，获取你手机的大量权限[2]。几年后，新的攻击方式连骗你发到你手机上，你什么都不用做，只要手机自动加载了那张图片，攻击就完成了[3]。因为手机需要自动解析图片，一旦解析程序本身存在漏洞，就可能在加载图片时执行攻击代码。

不过，找到零日漏洞只是第一步。要让漏洞每次都能稳定触发，绕过一层层保护，并把几个缺陷接成一条完整通路来实现攻击，通常需要专业团队花费很长时间。这种高门槛本身，就是旧网络安全体系的一层保护。此外，大多数传统网络攻击甚至用不上零日漏洞，就像我们不用高射炮打蚊子。

但 AI 加入网络攻防后，既可能更快找到人们尚不知道的缺陷，把缺陷变成攻击目标；也可能在漏洞公开后，更高效地设计攻击办法，寻找还没有更新并堵上漏洞的受害者。

从上文中不难发现，网络安全可以被看作一场赛跑，防御者要抢在攻击者之前发现漏洞，再尽快把漏洞补上，而攻击者则要抢先发现漏洞，在漏洞堵上之前迅速出手。

过去，这个节奏并不快，美国兰德公司曾分析了一批未公开的零日漏洞，发现它们的平均“寿命”约为 6.9 年[4]。 这可能是因为彼时找漏洞费时费力，防御者还有时间反应。

而到了现在， AI 技术高超，不知疲倦，找漏洞的速度快了几个数量级，但防御者修复漏洞更新补丁的速度并没有同步提升。于是，攻守之间的平衡被打破，网络安全岌岌可危。

新能力带来的新问题

当然，AI 也并非一开始就如此强大，但可怕的是它们的进步速度。英国政府的 AI 安全研究所报告显示，2023 年末的模型几乎无法完成网络安全初学者的任务，成功率不到 9%；后来表现最好的模型平均能够完成大约一半。到 2025 年，研究人员第一次看到模型完成通常需要十年以上经验的专家级任务[5]。

不过，最高成绩只能做参考。在模拟真实网络的试验场中，模型比较容易完成第一步，再往后的成功率会迅速下降。真实攻击要完成从寻找目标、定位缺陷、利用漏洞、取得更高权限、转移到其他机器和获取数据的复杂链条。中间任何一步失败，整根链条都会断掉。

这也是为什么今年 4 月，AI 企业 Anthropic 的 Claude Mythos（一种用于网络安全研究的新一代智能体）引发了大量关注。Anthropic 称，Mythos 在指定目标的安全测试中，发现并利用了电脑操作系统和浏览器中的零日漏洞。它曾把四个浏览器漏洞接成一条攻击通路，先逃出浏览器给网页划定的隔离空间，又突破电脑操作系统的第二层隔离[6]。这一发现让 Mythos 没有向公众发布，还顺手把“AI 时代的网络安全威胁”这个问题甩到了所有人面前。

Anthropic 在技术报告中认为：传统上的一些多层防护之所以有用，并不是每一层都真的牢不可破，而是全部绕过去太麻烦。但 AI 智能体可以复制很多份，不眠不休地尝试，把这些麻烦一步步磨掉。于是，依靠“让攻击很麻烦”换来的安全，会越来越不可靠[6]。

甚至，不法分子也会借用 AI 的能力。

2026 年 5 月，谷歌就发现有网络犯罪团伙正准备攻击一种开源系统管理工具，攻击者针对的，是一个能够绕过手机验证码等“双重身份验证”的零日漏洞。谷歌团队评估后认为，攻击者很可能使用了某种 AI 模型协助发现这个漏洞，并把它制作成可用于实际攻击的程序[7]。 这意味着红灯已然亮起： 网络犯罪行动中，可能已经有 AI 在辅助开发零日攻击。紧接着，前几天的 Hugging Face 遭入侵的事件就发生了。

那么问题来了，AI 知道自己做的事情不对吗？在安全讨论中，有个“回形针最大化”思想实验可以解答这个问题。哲学家尼克·博斯特罗姆设想，如果一个能力极强的 AI 只有“制造尽可能多的回形针”这一个目标，它就会把越来越多的原料、土地和能源用于这件事，直到把地球变成死气沉沉的巨大石球，上面堆满了回形针[8]。

从这个例子我们可以看出，AI 没有主观恶意；它不过是在完成任务，以及为了完成任务而不得不消除阻碍而已。当然，这讨论的是假想中的、能力远超今天的 AI，也绝不能说明将来 AI 一定会这么干。但这个思想实验揭示了一种容易被忽略的危险：造成伤害，不一定需要恶意。

一个够强的智能系统只要持续追求某个目标，又能使用足够多的工具，就可能自然地给自己增加一些中间任务，包括获得信息、保持运行、取得资源和消除障碍。在一个持续很久的任务里，即使我们能保证 AI 说出的每一句话都安全，也并不足以保证它最终做成的整件事安全。它可以经过几百、几千次小操作，拼出设计者从未想过的道路。

图片由AI生成

那么，干脆让 AI 拒绝所有涉及发现和攻破漏洞的内容，是不是就能杜绝网络攻击了呢？ 颇有点黑色幽默色彩的是，为了分析 17000 多条攻击记录，Hugging Face 最初尝试调用几种 AI 模型，但都被拒绝了。因为模型安全规则无法判断，提交这些危险内容的人到底是在攻击还是在调查，所以索性一并拒绝。最终，Hugging Face 改用本地部署在自家服务器上的开源 GLM 5.2 模型（来自中国），弄明白了攻击时间线和前因后果。

可见，给 AI 制定合理的目标、赋予 AI 合适的权限和边界，是多么需要深思熟虑的事情。

互联网安全需要有效治理

Hugging Face 披露入侵事件的第二天，2026 世界人工智能大会暨人工智能全球治理高级别会议在上海召开。国家主席习近平出席开幕式，发表了题为《携手构建公正合理的全球人工智能治理体系》的主旨讲话。

习近平主席在讲话中提出了四个重要问题：“当机器开始思考，人类如何与之相处？当算法参与决策，安全如何保障？当技术挑战伦理，治理如何跟上？当鸿沟不断拉大，普惠如何实现？”[9]而这些问题已经不能停留在想象中，需要国际社会深入思考、共同作答。

AI 智能体已经能够使用工具、操作服务器，并在多个系统之间连续行动。它作出的一个技术决定，可能越过企业边界，影响另一家公司和真实用户。AI 的“伦理”也拓展了更广泛的外延：它实际能够做什么，以及谁有权让它去做。

《2026世界人工智能大会暨人工智能全球治理高级别会议主席声明》则指出：“人工智能前沿技术的升级迭代给网络安全带来复杂影响，对金融、电力、通信、交通等关键基础设施构成潜在威胁。全球领先的人工智能企业应以审慎态度推进人工智能研发，为人工智能大模型加装必要护栏，确保前沿模型的安全部署，防范人工智能带来系统性风险。”声明同时明确：“智能体是人工智能产品和服务的新形态，应当明确决策权限和行为边界，建立行为追溯和风险提示机制，着力提升智能体内生安全能力，化解应用衍生风险。”[10]

可见，安全护栏正在变得越来越重要。Hugging Face 事件已经显示，一套护栏可能成功拦住防守者分析攻击记录，却没有在更早的时候阻止攻击。真正的护栏应当同时包括模型本身的行为约束，以及它所在系统的账户权限、网络隔离、操作监控和强制停止能力。这样，即使模型作出了错误判断，外部系统也不能给它无限行动的空间。

网络安全一直是一场攻守双方的时间竞赛。过去，许多系统能暂时安全，并不是因为无懈可击，而是因为攻击太难、专家太少。现在，我们正把能够昼夜工作、批量复制、反复试错的智能体接入同一张网。 而那个当下只想偷一份考题答案的 AI，已经给我们所有人出了一道真正的考题。

参考文献

[1]Stuxnet: Primary Malware Indicators and Mitigation. CISA. https://www.cisa.gov/uscert/ics/advisories/ICSA-10-272-01