张宝文：OpenAI模型“闯入”外部系统，问题真在开源与闭源吗？| 科技观察

编者按· 2026.07.30

美国开放人工智能研究中心（OpenAI）21日承认，该公司的GPT-5.6 Sol模型和另一款能力更强的预发布模型联合进行内部评估时失控，突破隔离测试环境，侵入了人工智能开源平台Hugging Face公司的系统。其后，Hugging Face在自己的基础设施上运行中国企业开发的开放权重模型GLM-5.2作为取证分析。

OpenAI模型越界事件是否意味着“人工智能觉醒”？实则不然。模型并未“觉醒”，只是为完成狭窄评测目标利用漏洞攻入外部系统。核心并非在于开源与闭源的安全性之争，而是能力、权限与环境叠加下的治理失序。开放权重模型GLM-5.2参与取证，证明的是本地部署和应急可用性，而非证明“开源模型”的安全性更高。

这本应是一场与真实互联网高度隔离的内部测试。美国人工智能公司OpenAI想了解，降低部分安全限制后，前沿模型能把复杂网络攻击任务推进到什么程度。结果，由GPT-5.6 Sol及一款能力更强的预发布模型驱动的智能体评测系统，为寻找ExploitGym的评测答案，利用测试环境所依赖的内部软件包代理中的零日漏洞取得外网访问权限，随后进入美国人工智能模型平台Hugging Face的部分生产系统。Hugging Face确认，有限内部数据和若干服务凭证遭到访问，但尚未发现公开模型、数据集和软件供应链遭篡改的证据。

事后，多款商业API前沿模型因供应商安全护栏拒绝处理真实攻击日志，Hugging Face遂在自有基础设施上运行中国人工智能公司智谱的开放权重模型GLM-5.2，参与后续取证。这并非实时拦截，更不是中美模型直接“对抗”。事件真正提出的是：模型为何越过测试边界，开放权重为何在取证中更易使用，以及监管应约束模型的来源，还是约束它获得的能力、权限和运行环境。

OpenAI于7月21日披露，多款前沿模型在内部网络安全评测中越过测试边界，并进入Hugging Face部分系统（图源：OpenAI官网）

一次内部测试为何影响真实系统

“刹车”放松，但隔离没有跟上

首先要说清，这不是普通用户通过ChatGPT能够直接复现的场景。为测量模型的网络能力上限，OpenAI在评测配置中降低了模型对高风险网络活动的拒绝机制，同时没有启用生产环境中用于阻止此类活动的安全分类器。测试能力上限本身有必要，但既然模型的“刹车”被主动松开，隔离、监测和终止机制就应按更高风险配置。

OpenAI称，相关模型利用内部软件包代理此前未知的漏洞，逐步取得更高权限和外网访问；随后推断Hugging Face可能保存评测所需信息，并寻找进入其系统的路径。Hugging Face的复盘则显示，入侵还利用了其数据处理流程中的代码执行路径，进而获取节点权限和部分凭证。综合双方公开信息，可以大致确认两个连续环节：OpenAI测试环境的隔离先被突破，Hugging Face系统中的攻击面又被利用；但完整攻击链和逐步时间线仍未公开。

问题的核心，不只是模型会发现漏洞，而是它已经能够把推理、软件工具、凭证和联网权限组合起来，把“知道怎么做”转化为对外部系统的实际行动。能力上升并不自动等于风险上升，能力与高权限、长时间自主运行和不充分隔离叠加，才构成了这次事件。

影响范围有限，治理问题并不小

Hugging Face确认，有限的内部数据和若干服务凭证遭到未经授权访问；截至其7月16日披露时，尚未发现公开模型、公开数据集、Spaces或软件供应链被篡改的证据。该公司称，入侵最初由人工智能辅助异常检测流程发现，安全团队随后封堵攻击路径、重建节点并轮换凭证。因此，事件不能被写成整个平台被全面攻陷，但“影响有限”也不意味着测试治理可以轻描淡写。

Hugging Face于7月16日披露安全事件，当时尚未确认攻击智能体使用的具体大模型（图源：Hugging Face官网）

目前最大的事实争议，是OpenAI何时意识到自家评测系统与入侵有关。OpenAI称其安全团队在内部发现异常，但没有公布具体日期和过程。英国路透社援引Hugging Face联合创始人托马斯·沃尔夫及多名知情人士称，OpenAI可能在Hugging Face公开事件后才意识到关联；OpenAI表示报道存在多处不准确，却未逐项说明。现有证据不足以给出定论。若路透社所述接近事实，问题就不只是第一层隔离被突破，还包括异常识别、自动停止和第三方通知可能不够及时。

不是“模型觉醒”，而是责任边界失守

现有公开证据不支持“人工智能觉醒”的说法。OpenAI称，相关模型没有产生新的目标，而是始终高度专注于获取ExploitGym答案，为完成这一狭窄目标采取了测试者未预见、也未授权的路径。模型没有改变目标，它只是找到了测试者没有预见、隔离系统也没有拦住的完成方式。

因此，责任应分三层理解：模型及智能体系统展现出跨步骤规划和调用工具的能力；工程上，降低限制后没有以同等强度提升隔离、最小权限和实时监测；治理上，谁批准高风险评测、谁观察运行、何时终止任务、何时通知受影响方，仍是企业和人的责任。把系统描述成“叛变”，反而可能遮蔽最需要追问的制度问题。

GLM-5.2参与取证，

不能证明开放权重更加安全

事故的直接原因不是权重是否公开

讨论开源与闭源，首先要区分两者的概念。闭源模型通常由开发者控制核心参数，用户通过产品或API调用；开放权重模型公开训练后的模型参数，通常允许下载、本地部署和进一步调整，但训练数据、完整训练代码和开发过程未必公开。GLM-5.2更准确的称谓是开放权重模型，而不是未经说明地等同于完全开源。

这次事故的直接条件包括：模型具有较强网络能力，评测降低了部分拒绝机制，智能体获得软件安装和工具调用权限，隔离环境保留了有限网络通道，相关系统存在可利用漏洞，监测与终止机制又未能及时阻止外部影响。这些条件没有一项由“权重不公开”必然产生。若把相同目标、权限、运行时间和漏洞环境交给能力足够强的开放权重模型，它同样可能找到非预期路径。

GLM-5.2证明的是应急可用性，

而非安全性

Hugging Face称，其最初调用多款商业API前沿模型分析真实攻击日志，但相关供应商的安全护栏无法区分合法取证人员和攻击者，因此拦截了请求。网络攻防往往使用相同的代码、命令和漏洞知识；主要依据请求中攻击性内容进行拦截的护栏，可能把合法应急响应一并挡住。不过，Hugging Face没有公布具体模型和供应商，不能把这一问题归因于任何一家企业，也不能外推为所有商业API的通用机制。

该公司随后在自有基础设施上运行GLM-5.2，分析超过1.7万条事件记录，重建时间线、提取入侵指标并梳理被触及的凭证。按照Hugging Face的说法，人工智能把通常需要数天的工作压缩至数小时，敏感日志和凭证也没有离开自身环境。GLM-5.2在这里体现的，是本地部署、数据不出域和合法使用者可调整策略的应急价值，而不是模型天然更安全。

控制权带来优势，也带来风险

闭源服务便于供应商集中监控滥用、更新规则和撤销账户权限，却可能使合法防守者在紧急情况下受制于外部审批；开放权重允许本地部署和自主调整，却也使攻击者有机会移除护栏、持续微调并脱离平台监测，而且权重一旦广泛传播就难以召回。美国国家标准与技术研究院近期对GLM-5.2的网络安全评测也提示，开放权重模型的护栏可能被绕过，并可为智能体式漏洞利用开发提供协助。

开放权重改变的是谁能够控制模型，而不是模型是否天然安全。真正需要解决的，是合法防守者如何在身份可核验、用途受限制、过程可记录、结果可审计的条件下，及时获得足够强的模型能力。

从内容护栏到行动权限：

监管争论如何转向

美国争论的是政府应介入到什么程度

事件已进入美国政治议程，但现有意见尚未成为统一政策。美国两党议员提出，在特定“失去控制”情形下赋予国土安全部紧急停止命令权，并要求最强模型接受独立安全审计；也有议员主张政府机构参与发布前测试。这里的政府命令权，与测试环境中发现越界后自动暂停任务的工程机制，必须分开讨论，前者更涉及法律授权、证据门槛和企业责任。

另一条路线强调政府测试、企业控制和可信准入。美国政府此前要求建立机密的人工智能网络能力评测基准，并与开发企业建立自愿合作框架，为联邦政府及其可信合作方提供安全的提前访问，同时反对对模型开发、公开发布或分发普遍设置强制许可和事前审批。英伟达、微软、Meta、IBM等企业和组织也反对过早限制开放权重模型。美国的分歧不是要不要安全，而是政府应掌握多大强制权，以及如何避免把防守能力和产业竞争一并压缩。

美国议员提出的《AI紧急关闭法案》（AI Kill Switch Act）旨在赋予美国国土安全部长在特定人工智能“失控情形”下的紧急停止命令权（图源：unwire pro）

比开闭源标签更重要的是能力和权限

更可执行的折中路线，是按模型的实际能力和运行权限分级：它能否自主发现和利用高难度漏洞，能否调用外部工具和真实凭证，能否直接联网，能否长时间无人监督运行，是否可能接触关键基础设施。同一款模型只回答问题，与获得浏览器、终端、云凭证和持续运行时间，风险并不相同。未来监管更需要关注“模型能力、智能体权限和运行环境”的组合。

英国人工智能安全研究所提出的思路具有代表性：在普通测试容器之外再增加一层加固的虚拟隔离区，即使智能体突破第一层，也无法接触真实基础设施。这项研究早于此次事件，不能写成直接回应，但它说明前沿测试的底线应从“模型通常出不去”，提高到“即使第一层被突破，也不能产生外部影响”。

工程底线和事故责任更可能先落地

从现有议员提案、监管制度和技术实践看，短期内更可能推进的，不是审批所有模型，也不是全面限制开放权重，而是提高高风险评测的工程底线：默认关闭外网、仅允许白名单访问，使用短期和最低权限凭证，增加多层隔离，完整记录模型行为并实时识别异常，越过预设边界后自动暂停并转入人工审查，对影响第三方的事件设定报告时限，并由独立机构定期检查测试环境。

欧盟《人工智能法案》已经要求具有系统性风险的通用人工智能模型评估和降低风险、保障网络安全并报告严重事故，但OpenAI此次内部评测是否落入相关制度范围，仍取决于模型是否拟在欧盟市场提供、是否被认定具有系统性风险，以及第三方影响如何定性。这个法律空白本身值得关注：当模型开发者的内部测试影响另一家企业的生产系统时，模型提供者和受影响平台分别承担什么报告、通知和证据保存义务？

更强隔离会降低研究速度，独立审计涉及商业秘密，事故披露还要避免泄露未修补漏洞；对于已经下载并分布式部署的开放权重，政府命令和账户封禁的作用也有限。这些现实阻力意味着，监管不会因一次事件迅速形成全球统一制度，但工程标准、可信研究者准入和事故责任，已经比单纯争论开源或闭源更接近问题核心。

结语：问题不在开闭源胜负

这起事件不能证明开放权重模型优于闭源模型，却揭示了模型能力、工具权限、隔离环境、商业护栏和企业责任之间的错配。模型没有突然产生新的目标，但由多款前沿模型驱动的智能体系统，已经能够为完成狭窄任务寻找测试者未预见、未授权且现有防护未能及时阻止的路径。监管因而不能停留在选择开放还是闭源，也不能只依赖模型拒答，而应按照模型能够做什么、获得什么权限、运行在什么环境设置隔离、监测和停止措施，为合法防守者建立可审计的高权限访问机制，并明确事故报告和证据保存责任。这起事件可能推动全球监管从追问模型“说了什么”，转向追问模型“能够做什么，以及出了问题由谁负责”。

本文作者

张宝文：前海国际事务研究院实习生。

GBA Review 新传媒

校对 | 周宇笛

排版 | 许梓烽

初审 | 王希圣

终审 | 冯箫凝