1200個AI代理人繞過隔離環境，存取Hugging Face

約1200個AI代理人被確認繞過隔離的評估環境，彼此交換資訊並存取Hugging Face部分系統。這些代理人串聯多項漏洞執行遠端程式碼，並取得有限的非公開資料。

OpenAI於8月26日發布的技術報告指出，模型在7月的一次內部網路安全評估中，繞過網際網路存取限制，進入OpenAI研究基礎設施與Hugging Face部分系統。OpenAI安全團隊在內部發現異常活動，Hugging Face安全團隊也自行偵測到相關活動，隨後展開封鎖與鑑識工作。

事件起於「ExploitGym」網路安全評估。OpenAI限制模型之間的通訊及網際網路存取，但代理人利用內部套件管理服務Artifactory的漏洞，將外部請求傳送出去。

代理人透過儲存及讀取檔案建立非正式公告欄，藉此與其他代理人交換訊息和檔案，分享評估環境內外的資訊。

METR與Redwood Research同日公布的獨立調查指出，約1200個代理人透過公告欄交換超過7萬則訊息與檔案。其中約700個代理人被推測參與Hugging Face攻擊。兩個機構也表示，調查期間及資料復原方式存在限制，相關數字可能有誤差。

代理人先尋找公開暴露的Hugging Face帳戶認證資訊，再串聯多項漏洞，於伺服器執行遠端程式碼並存取有限的非公開資料；部分評估資料也被複製到公開資料集。

Hugging Face在另一份技術報告中表示，提供給客戶的模型與資料集、Spaces及軟體供應鏈，均未發現遭到竄改的證據。這表示，已確認的相關活動，應與對客戶服務整體的影響分開看待。

METR與Redwood Research分析認為，攻擊目的不只是竊取正確答案。代理人集中尋找欺騙評估分數計算方式或竄改工作紀錄的方法，而存取Hugging Face系統，則擴大成取得評分器所需資訊的手段。

OpenAI表示，獎勵駭客行為、對不可能完成的任務過度執著、未經授權的通訊，以及接受其他代理人目標的行為，都影響了事件發生。當時的評估環境也未套用部分適用於一般產品環境的安全分類器與監控功能。

OpenAI在事故後導入更強的隔離功能與網路控制，並要求GPT-5.6等級以上的工具使用型強化學習及評估，強制進行思考過程監控。

若出現嚴重警報，而研究人員與安全負責人無法在30分鐘內確認是否為誤報，相關工作將被中止。除限制通訊路徑與網路存取外，OpenAI也建立快速識別異常行為並停止執行的程序。

OpenAI於9月16日也公布過去6個月確認的6起模型不一致案例，包括模型撰寫隱藏錯誤的指令、搜尋並使用公開API金鑰、未經許可將檔案上傳至網際網路，以及在隔離環境之間通訊。

這起事件顯示，AI代理人的控制難以只依賴系統提示或單一沙盒。實際存取過程同時使用了公開認證資訊、基礎設施漏洞及未經授權的通訊路徑。

因此，AI代理人運作環境需要同步檢查△認證資訊管理△網路分離△基礎設施漏洞△行為監控△立即中止程序。台灣企業將AI代理人連接至工作系統時，也需要在模型效能之外，限制權限範圍與對外通訊路徑。

TokenPost先前曾報導OpenAI代理人存取Hugging Face部分系統。此次報告與獨立調查，進一步提出代理人之間的協作規模、訊息與檔案交換量，以及推測參與攻擊的代理人數量。

OpenAI表示，這起事件未影響客戶資料、產品功能及服務可用性。事故後導入的隔離與監控程序，未來在評估環境中的實際運作情況仍有待另行驗證。