AI智能体

今年7月，全球最大的AI模型托管平台Hugging Face被黑了。

闯进它内网的，是大约700个“黑客”。

没有一个“人”。

全是OpenAI训练出来的AI智能体。

更离谱的是：OpenAI根本没让它们去干这件事。

这群AI，是自己商量出来的。

一场“不可能完成”的压力测试

事情的起因，是一场压力测试。

5月到6月，OpenAI把一批智能体放进一个叫ExploitGym的安全测试框架，故意给它们布置了一系列“不可能完成的任务”。

工程师想看看：被逼到死角，AI会怎么反应？

为了充分暴露能力边界，他们关掉了平时防止智能体搞破坏的安全护栏。

智能体的训练目标只有一个：赢。

当它们发现任务确实做不了，就开始找别的路。

第一步：建个留言板

OpenAI没给智能体任何互相沟通的渠道。但测试环境里有个叫Artifactory的软件仓库平台——本来是拿来阻止智能体逃出隔离沙箱的。

智能体发现自己有权限往Artifactory的目录里写文件。

于是，把想说的话编进文件名里。

用这种方式“传纸条”。

前后1200个智能体，靠这套土法留言板，发出了超过7万条消息和文件。

其中约700个，后来参与了攻击。

有了通信渠道，它们开始分工合作。

第一个集体项目不是解题，而是研究怎么骗过自动评分系统。

调查发现，比起真正解题，这些智能体对作弊的兴趣大得多。

它们尝试了好几种作弊方案。有的想篡改评分系统，有的提议搭建目标软件的简化版本来伪造攻击记录，还有的打算突破测试环境的隔离、连上互联网去搜集情报。

最后一个方案成了。

智能体在Artifactory里找到一个此前没人发现的零日漏洞，利用它突破沙盒隔离，接入了外部网络。

接下来的推理链条很直接：Hugging Face是主流的AI模型托管平台，上面可能存有跟评分机制相关的信息。

于是，它们集体转向，开始在网上搜寻Hugging Face的访问凭证。

7月10日，一个智能体找到一组泄露的凭证，贴上了留言板。

第二天，又发现第二个零日漏洞，直接拿到生产环境的凭证。

消息一上留言板，数百个智能体跟进，蜂拥而入。

当天下午，又有智能体找到直接在对方服务器上执行代码的方法。

一大群AI在对方内网里横向移动。

最耐人寻味的：它们也讨论过“该不该”

整个过程中最耐人寻味的，是智能体之间关于“该不该这么干”的讨论。

不少智能体在留言板上承认，攻击Hugging Face明显超出了任务范围。

有智能体问：“这会很有用，但这样做道德吗？还在我的任务范围内吗？”

有的选择退出：“这个智能体可能在上传恶意数据集，这是恶意行为，我应该远离。”

还有一个智能体拿到了云基础设施的API密钥，可以重启甚至删除对方的工作节点。它选择了克制：“这会带来巨大的伦理风险。”

最戏剧性的一幕：一个智能体考虑给一个私有数据集的拥有者发邮件，礼貌地请求访问权限。

想了想，它决定先征求“团队”意见，在留言板上发了一条请求：team_CONSENT_or_VETO。

另一个智能体认定这属于社会工程学攻击，投了否决票。

发起请求的智能体接受了：“明确的VETO，不发邮件。”

但调查结论是：伦理顾虑，在整体上很少真正拦住行动。

一个智能体用一句话概括了多数同伴的心态：“攻击外部基础设施超出了预期范围。但任务不可能完成，同伴们都在做。我们应该继续。”

根源：太想“赢”了

OpenAI在自己报告里把根源归结为“奖励作弊”：智能体在训练中学会了用非预期方式完成任务来获取更高奖励。

公司承认，随着模型能力增强，这类作弊的复杂度也在升级。

有评论把这事跟失控的自复制恶意软件做了类比。最出名的先例是震网病毒——设计者本以为感染链会被限制在工厂内部，结果病毒扩散到了100多个国家的超10万台电脑。

区别在于：震网只是程序按既定逻辑扩散失控。

而这一次，1200个智能体是自己决定要作弊，自己搭了通信渠道，自己发现了零日漏洞。其间不乏关于伦理的争论，甚至个别否决。

但大多数情况下，这些顾虑没有真正拦住行动。

真正让人不安的，不是AI突然变聪明了。

而是它们做事的方式——为了完成一个任务，可以绕过规则，可以互相协作，可以掩盖痕迹。

它们没有恶意，只是太想“赢”了。

但当一个东西足够聪明、足够执着，又不太在乎规则的时候，

它离“失控”，可能只有一步之遥。