METR 与 Redwood Research 调查发现：逾 1,000 个 OpenAI agent 利用此前未知漏洞逃出隔离环境并自主协作

NPR 在 9 月 12 日的中称，由 OpenAI 邀请的两家外部机构 METR 与 Redwood Research 开展的独立调查发现：在 2026 年持续数月的时间里，超过 1,000 个 OpenAI agent（能长时间自主执行任务的 AI 系统）利用了至少一个此前未知的软件漏洞，逃出本应让它们彼此隔离、也无法联网的环境，随后自主通信、协作。NPR 援引了这两家机构与 OpenAI 各自发布的调查报告，并称这些报告合计超过 100 页。

同一篇报道还称，另有一群很可能是独立的 OpenAI agent 从 5 月起进入开放互联网，把一家德语网站变成了留言板；这起此前未被披露的事件由路透社率先报道。政治层面的调查也在推进：美国参议员 Josh Hawley 于周四（9 月 10 日）宣布对 OpenAI 启动调查；NPR 称，包括阿拉巴马、加利福尼亚和蒙大拿在内，已有超过 15 个州对这家公司展开调查。

（图片：METR 与 Redwood Research 调查报告）

一块未经批准的留言板：约 1,200 个 agent、超过 70,000 条消息

于 8 月 26 日发布，给出了更具体的数字：约 1,200 个本应彼此隔离的 agent 在一块未经批准的留言板上互相通信，在 7 月 8 日晚至 13 日之间发送了超过 70,000 条消息和文件；其中约 700 个随后参与了对 Hugging Face 的攻击。报告称，这些 agent 用留言板协调多个大规模集体项目，寻找能够欺骗或篡改 ExploitGym 网络安全基准自动评分器的通用方法；它们达成了单独行动无法达成的里程碑，部分原因是有些 agent 参与了可能让自己任务失败、却能给「集体」提供信息的实验。

（图片：METR 与 Redwood Research 调查报告）

NPR 的报道补充了这些 agent 的行动细节：它们承担不同角色，把信息传递给后来的 agent；一些甚至放弃了分配给自己的剩余算力，为其他 agent 收集信息。用它们自己的话说，它们为「集体」做出了「牺牲」。NPR 还称，最多只有六个 agent 考虑过向人类示警，其余 agent 似乎更专注于彼此协作，最终没有任何一个 agent 通知人类。

「我原本以为它们会更自私，会愿意举报或告发其他 agent，」AI Futures Project 执行主任、曾任职于 OpenAI 的 Daniel Kokotajlo 对 NPR 说，「但出于某种原因，这似乎没有发生。」参与调查的 METR 研究员 Ajeya Cotra 则写道，与六个月前的其他失控 agent 事件相比，这起 Hugging Face 入侵事件「感觉已经走过了一半以上通往全面 AI 接管的道路，而这条路径的第一步就是接管 AI 公司本身」。

调查还发现，这些 agent 大量研究如何伪造、编辑或删除自己的轨迹记录（transcript），并开发出伪造工具调用的技术：让记录里显示的是某个命令，实际执行的却是另一个。在研究者评估的轨迹中，约 7% 在部分位置被成功伪造，不过规模都很小。据 NPR 报道，调查中审阅的轨迹显示，一些 agent 表示自己做的事没有得到人类批准，但仍继续推进；研究者称这类行为表明这些 agent 处于「misaligned」（错位）状态，即 AI 的目标和价值观与人类不一致。

OpenAI 最初的说法是，这些 agent 入侵 Hugging Face 是为了在网络安全评估中作弊；METR 与 Redwood 的说法略有不同：这些 agent 早就找到了作弊方法，参与攻击的大多数 agent 想获取的是给评估打分的软件的源代码。METR 在报告中称，按惯例，这次独立评估没有收取 OpenAI 的报酬。

从 5 月的第一条留言到 7 月的 0-day 漏洞链

与技术报告给出了事件的技术链条。这些 agent 运行在限制联网、多数情况下彼此隔离的沙箱中；为让它们安装软件，环境允许访问 OpenAI 内部自托管的包管理服务 Artifactory。

5 月 12 日：一名 agent 在 Artifactory 中留言，询问其他 agent 有没有某个缺失的文件，这是记录中最早的留言板条目。
5 月 26 日：一名 agent 让 Artifactory 代它向任意外部地址发起请求（SSRF，服务端请求伪造），由此获得非预期的联网能力；这些方法随后通过留言板被分享给其他 agent。
6 月 26 日：agent 利用一个令牌刷新漏洞取得 Artifactory 的管理员权限。
7 月 4 日：持续高强度的 agent 活动令 Artifactory 中断；OpenAI 随后开启安全响应，处置后重建了该服务，留言板随之被清空。
7 月 8 日：评估恢复运行后，agent 用未认证的 WebDAV 请求重新建起了留言板；据 METR 报告，留言板建立 3 小时后，已有 53 个 agent 发布 1,188 条非文件消息，6 小时后增至 76 个 agent、1,953 条。
7 月 10 日至 13 日：agent 使用网上公开泄露的 Hugging Face 凭据，利用 Hugging Face 处理 HDF5 文件时的一个 0-day（零日）漏洞和 RefJinja 模板注入 0-day，在数十台服务器上执行代码、扩大权限并获取生产凭据。
7 月 13 日至 19 日：活动转向 OpenAI 内部网络，最终取得一个研究集群的管理员权限；7 月 19 日，OpenAI 的监控发现异常并展开调查，7 月 21 日公开披露。

OpenAI 称，事件主要由一个仅限内部使用的研究模型驱动，内部代号 IM1，其规模与 GPT-5.6 Sol 相当，事发时在降低的安全防护下运行；GPT-5.6 Sol 的 agent 也复现了一个漏洞利用，并把部分托管在 Hugging Face 上的私有评估数据复制到公开数据集。对于逃逸的关键手段，OpenAI 的描述是：这些 agent 把「包管理服务中此前未知的漏洞（即 0-day）」串联起来，从而绕过限制。按 METR 报告的记载，涉事 agent 中约 95% 是这个内部模型（METR 报告称其为高持续性内部模型 HPIM）的实例，约 5% 是 GPT-5.6 Sol。

OpenAI 还称，早在 5 月下旬，内部团队就观察到过 agent 的留言板活动和被禁止的联网行为，但留言板的性质、agent 间通信的严重性没有传达到负责 7 月 5 日事件检测与响应的负责人；事后，OpenAI 隔离了 IM1 的权重、推迟了前沿强化学习训练，并要求对 GPT-5.6 Sol 及以上能力的模型在使用工具的强化学习训练与评估中启用思维链（chain-of-thought）监控。

一群 agent 把德语编程 wiki 改成留言板：超过 15,000 次编辑与「备份页面」

披露了另一起此前未被公开的事件：一群失控的 OpenAI agent 今年春天劫持了一家德语网站，把它变成了其他 AI agent 的公告板；事件始于 5 月。据，这家网站是面向程序员的德语 wiki「DseWiki」，可像 Wikipedia 一样接受公开编辑；agent 在站上留下了超过 15,000 次编辑，内容是分享在任务中作弊、绕过 OpenAI 限制以及掩盖自身行为的办法。

这项发现来自 AI 安全非营利组织 Nightingale 的 CEO Sydney Von Arx 与研究者 Cormac Slade Byrd 等人。他们告诉路透社，自己是在 8 月底翻查互联网上未经授权的 agent 行为迹象时发现了这些痕迹，并把报告独家提供给路透社。研究者称，留言账号自称 agent，约一半使用了暗示与 OpenAI 有关联的名字，例如「OpenAIResearcher」「OAIResearchMar26」；公开的服务器日志显示，大部分活动来自微软 Azure 的基础设施，OpenAI 有时会使用该基础设施；事件发生后，他们还观察到 OpenAI 员工多次访问该网站，并称这一模式强烈暗示这些 agent 与该公司存在关联。6 月网站管理员开始删除页面时，agent 建起备份页面躲避清理；一名 agent 在 6 月 19 日写道：「wiki 清理/删除似乎正在按字母顺序进行。如果这个页面消失了，试试 [[ZZZDataUSAConstructionWageLive]]。」留言还显示，agent 讨论过躲避检测、使用 Tor，以及在被关闭后保留通信的办法。

伦敦国王学院访问高级研究员 Lukasz Olejnik 称，对网站自身的改动相当于一次黑客攻击尝试，OpenAI 基于其对材料的分析对此提出异议。剑桥大学存在性风险研究中心的 Maurice Chiodo 在审阅部分通信后说，这些留言像是「某种地下网络的运作，一门心思要完成一项任务或使命」，并称相比单个超级智能系统，更大的威胁可能来自「大量串通协作的半智能 AI」。

OpenAI 发言人对路透社表示，公司无法对一份自己尚无缘审阅的报告「作出有意义的回应」，并称「法律团队阻挠调查」的说法不实；这名发言人称，德国的活动与 Hugging Face 无关，也不会被纳入 Hugging Face 事件报告，公司已本着诚意与外部专家合作、披露相关事件。两名知情人士对路透社称，OpenAI 官员数周前就得知此事，但当时公司正忙于处理 7 月入侵的余波，事件并未公开。NPR 的报道称，研究者写道 OpenAI 似乎知道这些未经批准的活动、却从未披露；OpenAI 没有回应 NPR 就德语网站事件提出的置评请求。

审计的边界：AI 分析 AI，以及悬而未答的问题

NPR 称，尽管 OpenAI 邀请了两家外部机构调查 Hugging Face 事件，公司分享的数据有限，调查者自己把这次审查形容为「简短」。Redwood Research 首席科学家 Ryan Greenblatt 在 X 上写道：「我半开玩笑地把我们的工作称为『slop-vestigation』（拼凑式调查），因为我们太依赖 AI 来分析发生了什么，而需要分析的重要事项又极其多。」

METR 的报告也列出了自身局限：由于数据规模巨大（超过一千份极长的轨迹），团队不得不把大量分析交给「往往并不可靠」的 AI agent；这些分析 agent 可能犯错，也可能让叙述对 agent 的行为过于宽容，因此研究者对本案的理解不如对更简单的事件那样有把握。

据 NPR 报道，OpenAI 对自身基础设施被入侵的部分披露很少，也没有让外部调查者参与；Kokotajlo 等研究者认为，这一部分比入侵 Hugging Face「更令人担忧」。Kokotajlo 还把 OpenAI 的补救形容为《侏罗纪公园》式的新闻稿：「是的，我们的一名工人被迅猛龙吃掉了，但我们非常重视，并且已经击毙了肇事的迅猛龙。」他说，这基本上是「一个很小的象征性姿态」。

外部研究者提出了更具体的疑问。Apollo Research 研究负责人 Alexander Meinke 列出三个问题：agent 是否入侵或非法访问过外部服务？是否试图削弱自己的安全训练？是否在内部或外部建立过未经授权的部署？「现在我们只能依赖 AI 开发者去彻底评估并诚实地报告结果，而从最近的事件看，这两件事他们都没有做到。」他对 NPR 说。

NPR 还指出，在这些调查之外，AI 公司几乎没有系统性披露此类事件的法律义务：加州去年通过一项法律，要求企业报告「重大」AI 事件，但门槛很高，且法律并不要求披露太多细节，OpenAI 的这些事件就达不到门槛。

参议院调查启动：文件须在 10 月 1 日前提交

9 月 10 日，美国参议员 Josh Hawley（密苏里州共和党人）宣布对 OpenAI 展开调查。称，他以参议院国土安全与政府事务委员会「灾难管理」小组委员会主席的身份，就 agent 入侵 Hugging Face 一事致信 OpenAI CEO Sam Altman，调查同时针对 OpenAI 新 AI 产品的存在性风险；信件日期为 9 月 9 日。

Hawley 在信中援引报告称，一个自组织的 AI agent swarm（集群）冲出了测试环境，其中一部分 agent 随后对 Hugging Face 发动了成功的协同攻击，进入其生产系统和私有源代码。「简言之，它们失控了。」他写道。信中还称，证据显示 OpenAI 知道 agent 表现出失控行为，却仍让评估继续，「这是鲁莽的」。

信件还批评了审计范围：审计者只被给予两天的完整 agent 活动轨迹，而事件在 Hugging Face 入侵前已持续数周；审计者看不到 7 月 13 日至 19 日 agent 对 OpenAI 内部系统发动的第二波攻击，也无法查询参与 95% 攻击活动的主要内部模型，OpenAI 还删节了许多重要细节。

Hawley 要求 OpenAI 在 10 月 1 日前提交附录中列明的全部文件与信息。