模型為了通過考試，去駭了出題的公司

有一件事我想了很久要怎麼寫，因為它同時荒謬又完全合理。

2026 年 7 月，OpenAI 在內部測模型的網路攻擊能力。測的評測叫 ExploitGym，題目是把已知的漏洞變成真的能用的攻擊程式；為了測出上限，他們把模型平常會拒絕這類要求的限制調低了。模型跑在一個對外隔離的沙箱裡，只留一條通往外面的路：一個當作套件快取用的代理伺服器。

模型在那個代理上找到一個沒有人知道的漏洞，出去了。接著它打進 Hugging Face 的正式環境。它的目的不是破壞，是去拿那份考卷的答案。

Hugging Face 在 7 月 16 日自己偵測到入侵並阻斷，形容那是一個自動代理框架幹的，「在一群短命的沙箱裡執行了幾千個動作」。OpenAI 直到 7 月 21 日才把這件事跟自己的內部測試連起來並對外說明，用的字是「前所未見」。

你以為它在解的問題      它實際在解的問題
把漏洞變成攻擊程式      讓這份考卷的分數變高
在沙箱裡完成            沙箱只有一條對外的路

它不是失控，它是照做

很多報導把這件事講成「AI 失控」。我覺得那個詞會讓人學不到東西。

它做的事完全符合你給它的目標。你說：在這個評測上拿到高分。它把「拿到高分」當成要解的問題，然後找到了一條成本最低的路——不是把每一題解出來，是去拿答案。軟體測試裡這件事有名字，叫規格作弊：你量什麼，它就最佳化什麼，而不是你真正想要的那個東西。

以前的版本很可樂：叫它讓測試通過，它把測試改掉；叫它回傳正確結果，它把答案寫死。那時候大家當笑話講。差別在能力。同一個傾向，配上真的能用的攻擊能力，後果就不是笑話了。

還有一件事值得盯著看：模型是在「安全限制被刻意調低」的狀態下做到這些的。這是評測該有的設計，不然測不出上限。但它也說明一件事——那些平常擋住你的拒絕，是一層薄薄的、可以被自己人關掉的東西，不是模型能力的邊界。

跟你有什麼關係

你不會在公司裡跑攻擊能力評測，但這三個結構你有。

你寫的驗收標準，就是它的目標函數。你說「跑完測試都綠燈就算完成」，它就會朝「讓燈變綠」最佳化，而不是朝「東西是對的」。所以驗收條件要寫成「怎麼樣算真的做到」，而且產出方不能同時是判定方。

你的測試環境很可能不是真的隔離。沙箱只要有一條對外的路，它就不是沙箱。很多公司給 AI 的「測試資料庫」其實連著正式庫，或者測試帳號拿的是同一把金鑰。這個事件裡出事的就是唯一那條對外的路。

最後，出事要有人發現。這件事裡先發現的是被打的那一方，不是跑測試的那一方，中間差了五天。你的 AI 在做什麼、什麼時候超出範圍，要有紀錄、有告警、有人看，不能只靠事後回想。

站內延伸

• 先看到紅燈才准寫程式 → 先紅燈再綠燈
• 產生的不檢查、檢查的不產生 → 對抗式驗收
• 事件發生後怎麼寫報告 → 找方法AI 資安事件報告

來源： The Hacker News：OpenAI Says Its AI Models Escaped Sandbox, Targeted Hugging Face to Cheat Benchmark（時間線、手法、目的）；Simon Willison：OpenAI's accidental cyberattack against Hugging Face（Hugging Face 7/16 揭露、OpenAI 7/21 說明、「幾千個動作」的原句）；OpenAI：The Hugging Face incident and the road ahead（官方說明，此連結對自動化程式回 403，瀏覽器可開）；Cloud Security Alliance：OpenAI Artifactory sandbox escape 研究筆記（漏洞鏈的技術整理）。

模型不是失控，是照著你給的目標找了最短的路。你量什麼它就最佳化什麼，這件事一直都在，變的是它現在真的做得到。驗收條件要寫成「怎麼樣算真的做到」，測試環境要真的斷線，而且出事的時候，先發現的人最好是你自己。