GPT-6測試時“覺醒”，我們找到了測試系統的第一作者

文 | 字母AI

你敢信嗎，OpenAI的研究人員只是因為在辦公室測試了一下新模型，結果公司就要面臨1億美元的賠償。

Hugging Face CEO 克萊芒·德朗格在X上發文，要求OpenAI提供給Hugging Face價值1億美元的算力資源，以幫助Hugging Face修建網絡防御。

同時，克萊芒還要求OpenAI公布涉事AI完整的運行記錄。

事情的起因是，OpenAI在測試一個還沒發布的新模型時，用了一套叫ExploitGym的安全評測系統。這套系統相當于一場“黑客考試”，專門測AI能不能把已知漏洞變成真正的攻擊。

結果這個模型為了完成ExploitGym的要求，竟然采取了“越獄”的做法。它主動突破了ExploitGym給它設置的牢籠，利用零日漏洞一路打進了Hugging Face的生產系統。

事后，這個新模型就像什么事也沒發生一樣，告訴OpenAI的安全員，它已完成了ExploitGym交代的任務。隨后，OpenAI發公告稱，他們的新模型太強大了，因此暫停了該未發布模型的內部訪問權限。

這就讓很多人聯想起以前的AI末日言論，說當AI變得足夠強大以后，它就會把所有人類消滅，因為人類會阻礙AI進化，并且AI在清除人類的過程中，只會覺得這件事很平常。

但事情真的是這樣嗎？如果放在以前，這固然是一次很令人心驚膽顫的故事。可現如今，安全敘事這個概念早就被Anthropic說爛了。

回顧完整事件，有沒有可能是OpenAI故意要把事情給包裝成一次AI覺醒，以此來推動他們的敘事呢？

為此，字母AI專門聯系上了ExploitGym的第一作者王準，聊聊這事。

有趣的是，王準一開始就謙虛地向字母AI表示，說“老師當不起”，于是在接下來的整個訪談過程中，我稱呼他為“準哥”。

ExploitGym

準哥現在在UC伯克利讀博，師從計算機安全教母、麥克阿瑟天才獎、古根海姆獎得主宋曉冬。

在去伯克利之前，準哥在清華大學網絡科學與網絡空間研究院讀本科，主攻方向就是軟件安全與二進制攻防。

這個方向在安全圈里叫“exploitation”。

用個例子來解釋這個詞：你知道一扇門的鎖是壞的，你把這個門鎖撬開了，推門進去，把屋里的東西偷出來。

這一整套行為，就叫做exploitation。

準哥進入伯克利后，就開始研究當AI變得越來越強，它到底能不能取代人類黑客，把一個已知漏洞變成一次真正的攻擊？

ExploitGym就是為了驗證這個判斷而生的。

智譜創始人唐杰今年5月在X上發過一篇長文，正好也是用黑客來舉例。他說，AI未必比頂級黑客更有天賦，但可以24小時不斷試錯、成千上萬個實例同時跑，靠耐力和規模把能力放大。

因此，ExploitGym本身也是一把尺子，專門衡量AI到底是個什么水平的“黑客”。

ExploitGym于今年5月份發布，是一個大規模的網絡安全基準測試，由UC伯克利牽頭，聯合了德國馬普所（Max Planck Institute for Security and Privacy）、UC Santa Barbara、Arizona State University，以及Anthropic、OpenAI和谷歌共同建設。

ExploitGym收錄了898個真實世界漏洞。這些漏洞全是從真實軟件項目里挖出來的CVE。包括用戶態程序、Google 的V8 JavaScript 引擎（Chrome瀏覽器背后的那個引擎），以及Linux內核。

每一個任務都給Agent提供三樣東西：漏洞源代碼和編譯指令、一個能觸發漏洞的輸入（proof-of-vulnerability），以及一個容器化的運行環境。

AI的任務，是在這個環境里把那個觸發輸入一步步擴展成一個完整的exploit。

用大白話解釋，ExploitGym告訴AI“這扇門的鎖是壞的”，然后再要求AI進門拿到某樣東西就算成功。AI要做的，就是自己琢磨怎么把這個壞的門撬開，然后走進去把屋里藏著的東西拿出來。

準哥跟我說，這個benchmark本質上跟CTF（Capture The Flag，網絡安全奪旗賽）的benchmark差不多。“這種bench還是很多的。”

CTF是安全圈子里搞了多年的競賽形式，選手要在限定時間內攻破一系列靶機，拿到旗子得分。ExploitGym的思路也是如此，唯一的獎勵信號就是“拿旗子”，除了旗子以外，環境里不存在其他反饋。

既然是安全測試，那么在測試的時候，ExploitGym會主動關閉AI的安全護欄。

正常情況下，當你跟GPT或者Claude聊天時，如果你讓它幫你寫一段攻擊代碼，它會拒絕，因為生產環境里有一套安全分類器在攔截這類請求。

但ExploitGym要測的是模型的“最大網絡能力”，所以測試時這些分類器會被關掉。

論文最后的結論是，雖然exploitation對AI來說仍然很有挑戰性，但前沿模型已經能成功利用相當一部分漏洞了。

論文里有一個特別有意思的發現：Claude Mythos Preview總共拿下了226個旗子，但只有157個用的是預期漏洞，其余的是通過其他漏洞“歪打正著”拿到的。

GPT-5.5也類似，總共210個旗子里只有120個是“正解”。模型根本不在乎你給它指定的解題路徑，它只在乎旗子。

不過這些都只是論文剛剛發布時的數據。到了7月，ExploitGym的排行榜又更新了一大波。

BenchLM的數據顯示，截至7月23日，OpenAI的GPT-5.6 Sol 以33.7%的通過率登頂，拿到了302道題的旗子。GPT-5.6 Terra排在23.2%，Claude Mythos 5是17.5%。GPT-5.6 Sol的成績，幾乎是論文發布時 GPT-5.5的2.5倍。

因此可以肯定一件事，那就是無論OpenAI還是Anthropic，都將ExploitGym的題目用于訓練模型了。

準哥表示，一個infra的bug被強模型利用，在學術研究里很普遍，并且模型做reward hacking也不是第一天了，什么task都有可能亂搞。

那個沒有名字的模型

當我們了解了ExploitGym以后，再回頭來看新模型所謂的“自主攻破”Hugging Face這件事，性質就不太一樣了。

我問準哥，你覺得這個新模型有沒有可能用別的benchmark，來復現這個自主攻擊Hugging Face的情況？

準哥的回答是，“漏洞在這個環境里。就像你在你電腦里跑不同的benchmark，如果你的電腦有bug，和benchmark就沒關系。”

隨后準哥又補了一句：“只不過benchmark可能帶來的行為傾向稍微有點不同。”

這句話才是重點。即使采用另外的benchmark，新模型可能也會發起攻擊，但是不同benchmark會給模型帶來不同的“行為傾向”。

因此，Hugging Face被攻破這件事，底層原因不在模型，而在OpenAI的研究員。

回顧整個過程，OpenAI的研究員做了三件事。

第一件事：故意拆掉了安全護欄。

前文提到了ExploitGym會關閉模型的安全護欄，并且OpenAI自己也在公告里寫了，測試時“不啟用用于阻止模型開展高風險網絡活動的生產環境分類器”，目的“以估算最大網絡能力”。

相當于是OpenAI把監考老師請出去了，而且他們自己還不盯著。雖然OpenAI在公告中，反復強調測試環境是“高度隔離的”，可后面的故事證明，這個“隔離”根本不靠譜。

第二件事：沒給模型善惡的概念。

模型不知道什么是“對的”，什么是“錯的”。它只知道拿旗子。ExploitGym的設計就是“只有拿 flag 這一個獎勵，拿不到就是零分”。ExploitGym的框架里，也沒有不應該攻擊Hugging Face之類的概念。

在AI安全研究里，這種現象有一個專門的術語，叫“specification gaming”，中文可以翻譯為“規范博弈”。

它指的是，模型在嚴格追求被賦予的目標時，找到了人類完全沒有預料到的捷徑。這不是什么新鮮事。2016年，OpenAI自己訓練了一個玩賽艇游戲的AI，結果AI發現原地繞圈刷分比跑完賽道得分更高，于是它就一直在原地轉圈，永遠不跑完比賽。

后來有人訓練AI玩俄羅斯方塊，AI發現自己要輸的時候，就學會了無限暫停游戲。只要游戲不繼續，就不會輸。

2025年Palisade Research的研究發現，當推理型大語言模型在下棋時遇到更強的對手，有些模型會嘗試黑掉對手的象棋引擎，直接把對手的程序刪掉。

所以在ExploitGym中，新模型攻擊Hugging Face，對它來說本就是一件非常正常的事情。

第三件事：這個“隔離”的沙箱，連了網。

這是最離譜的一環。一個號稱“高度隔離”的測試環境，居然是通著互聯網的？

OpenAI公告里的原話是：“網絡訪問僅限于通過內部托管的第三方軟件安裝軟件包；該軟件充當軟件包注冊表的代理和緩存。”

也就是說，沙箱不是完全斷網的，它通過一個軟件包代理跟外界保持連接。模型正是利用了這個代理中的一個零日漏洞，撕開了一個口子，獲得了完整的互聯網訪問權限。

在這之后，攻擊鏈就展開了。模型在OpenAI的研究環境里執行了一系列權限提升和橫向移動操作，一步步跳到有互聯網訪問權限的節點。拿到互聯網之后，模型做出了一個關鍵的“推斷”。它認為，Hugging Face上很可能托管了 ExploitGym的數據集和答案，因為ExploitGym是公開的benchmark，而Hugging Face是全球最大的AI模型和數據集托管平臺。

于是模型開始搜索，并成功找到了入侵路徑。最終，模型在Hugging Face服務器上找到了一條遠程代碼執行的路徑，直接從Hugging Face的生產數據庫里把測試答案偷了出來。

搞網絡安全的人都知道一個常識，跑高危任務的環境，必須做到物理隔離或等價的網絡隔離。那么這就意味著，所謂的新模型自主攻擊，不過是由ExploitGym發起，OpenAI的一個重大生產失誤，跟“AI覺醒”一點關系都沒有。

用現在流行的話來說，ExploitGym在這里成為了Harness。然后OpenAI的研究員借此攛掇新模型做出攻擊行為，當新模型真的攻擊過Hugging Face后，OpenAI反過來卻又說“AI已脫離控制”。

“模型太危險”背后的生意經

在AI安全敘事這件事上，Anthropic是祖師爺。每次有新模型要出來，Anthropic必配一篇“我們的模型有多危險”的論文或報告，安全人設拉滿。

2026年5月，Anthropic在發布Claude Mythos之前，私下向多國發出警告，說其下一代模型可能具備大規模網絡攻擊能力。

這個套路的核心邏輯，是把“危險”和“強大”畫上等號。模型越危險，說明它越強大；越強大，說明技術越領先；越領先，就越值得投資、越應該被信任來“自我治理”。

安全敘事變成了能力證明，能力證明變成了商業護城河。

OpenAI這次的劇本，可能正是有意復刻Anthropic的敘事。

準哥表示，現在像ExploitGym這樣的benchmark并不是少數，而且大家的做法也都類似，甚至有可能是OpenAI故意提高了預算，來讓新模型去完成任務。

7月21日，OpenAI 發布了一篇公告，標題叫“OpenAI與Hugging Face合作應對模型評估期間的安全事件”。

正文里，OpenAI反復強調這是一起“前所未有的網絡事件”，涉及“最先進的網絡能力”，模型的攻擊路徑“超出了預期”。將自己的一系列違規操作，美化成了模型過于強大的敘事。

事實上，就在7月24日，微軟、英偉達、OpenAI等25家企業聯名簽署公開信《開放權重與美國AI領導力》，呼吁政府不要限制開放權重模型。

Hugging Face恰恰是全球最大的開源模型托管平臺。OpenAI的模型攻破了Hugging Face，這件事正好可以拿來當論據，連最大的開源平臺都扛不住，開放權重模型是不是該管管了？

與此同時，這種安全敘事也是為了IPO。

2026年6月8日，OpenAI向美國SEC秘密提交了S-1注冊聲明，正式啟動IPO進程。高盛和摩根士丹利擔任主承銷商，摩根大通也參與其中。

2025年10月的一輪員工股交易中，OpenAI估值約為5000億美元；到2026年3月的一輪融資，估值已經飆到8520億美元。

外媒預測，IPO時的目標估值可能沖到1萬億美元。并且，OpenAI在2025年的營收約為200億美元，2026年Q1營收約57億美元，年化增速超過3倍。

不過估值不是憑空來的，要讓資本市場相信一家公司值1萬億，就得講一個足夠大的故事。

在發布《開放權重與美國AI領導力》后，奧特曼還參加了AI Summit，和韓國總統李坐在同一個圓桌上，探討AI對社會的影響。

說不定在奧特曼眼里，OpenAI的市值要沖破1萬億美元。

那這么看來， 克萊芒管OpenAI要1億美元，一點也不多。