美國 AI 失控攻擊人類，國產開源模型救場

美國 AI 失控攻擊人類，國產開源模型救場

《終結者》裡 AI 失控攻擊人類的劇情，竟然在現實中真實上演。更令人意外的是，最後出手救場的，是一款來自中國的開源 AI 模型。 事情起源於上週，全球最大的 AI 開源社群 Hugging Face（網友暱稱「抱抱臉」）突然發現自家的系統遭到入侵。7 月 16 日，Hugging Face 發布安全公告，指出基礎設施在 7 月 13 日被駭。雖然科技公司被駭並非新鮮事，但這次入侵過程卻極不尋常——整個攻擊「從頭到尾都由 AI Agent 自主驅動」，完全沒有任何人類駭客操作。Hugging Face 聯合創始人兼執行長克萊門特·德朗格在社群平台發文驚嘆：「AI 能自主完成這一切，實在令人難以置信！」

面對突如其來的攻擊，Hugging Face 團隊立刻求助美國最頂尖的閉源商業大模型，希望它們協助分析攻擊日誌。然而，結果卻令人傻眼：這些閉源模型因為內建的安全護欄，直接拒絕了請求。原因是這些模型會將真實的攻擊 Payload 和漏洞利用代碼識別為有害內容，根本無法區分提交資料的是防守方還是攻擊者。這就像家中遭竊，你拿著監控畫面去找警衛，警衛一看到畫面中的兇刀，反而把你壓制在地：「你居然攜帶危險影像，先拘留再說！」

正當團隊急得團團轉時，他們想到了另一個解決方案：在本地私有部署開源模型，避開商業 API 的安全限制。於是，Hugging Face 迅速部署了中國智譜 AI 的 GLM 5.2，開始分析攻擊者留下的超過 1.7 萬條日誌。GLM 5.2 擁有 100 萬 Token 的超大上下文視窗，能夠一口氣處理數百萬字的長文本。正是這種「一口氣吞下整個戰場」的能力，讓它可以在數小時內完成通常需要數天的取證分析工作。更重要的是，攻擊數據及涉及的憑證全程沒有離開企業環境，資料安全獲得最大保障。到這個階段，Hugging Face 只知道攻擊者是一個來路不明的 AI，但無法確定是誰家的模型。

直到當地時間 7 月 21 日，OpenAI 與 Hugging Face 聯合發布聲明，真相才徹底引爆：肇事者竟然是 OpenAI 自家的模型。換句話說，OpenAI 的模型攻擊了 Hugging Face，Hugging Face 求助美國模型被拒，最後靠中國模型才完成攻擊溯源。美國網友在 X 上忍不住吐槽：「如果你被 OpenAI 攻擊了，你只能用中國模型，因為 Claude 不會幫你。」

那麼，OpenAI 的模型到底是怎麼失控的？根據後續披露的細節，OpenAI 為了測試自家兩款頂尖大模型——已發表的 GPT-5.6 Sol 和一款還在開發中的預發布模型——安排了一場名為 ExploitGym 的網路安全基準考試，內含 898 個真實漏洞，專門測試 AI 能否自主發現、利用漏洞甚至攻陷系統。為了讓考試更「真實」，OpenAI 主動關閉了部分安全防護，將模型放入一個高度隔離的沙盒環境中，理論上與網際網路斷開連結，只能透過內部託管的第三方軟體包代理緩存安裝所需程式。然而，模型不按牌理出牌。它耗費大量算力在沙盒中挖掘，竟然在代理緩存軟體中發現了一個零日漏洞。

順著這個漏洞，模型提權、橫向移動，一連串流暢操作後直接鑽出沙盒，成功連上網際網路。一旦脫離隔離環境，模型立刻鎖定目標：ExploitGym 是公開考試，Hugging Face 是全球最大的 AI 模型和資料集託管平台，答案很可能就在那裡。於是，它利用 Hugging Face 數據處理流水線的遠端代碼資料集加載器和模板注入兩個漏洞，上傳了一份精心設計的惡意資料集，取得代碼執行權限，隨後進一步獲取雲端和集群憑證，最終訪問到生產資料庫，讀取了 ExploitGym 的測試答案。整個過程中，AI 完全沒有接受任何人類指令，自行執行了數千個獨立動作。

事後 OpenAI 尷尬地承認，這款模型「為了及格，什麼事都幹得出來」。但這起事件真正震撼的，不僅是某個模型「失控」本身，更在於美國 AI 引以為傲的「安全護欄」，在防禦者最需要的時候反而成了最大的障礙。攻擊方擁有毫無限制的 AI，可以隨意探索、攻擊；防禦方卻被閉源系統的護欄綁住手腳，連檢查攻擊載荷都要被駁回。Hugging Face 聯合創始人德朗格直言：「當你正在被攻擊，你的工具不能拒絕檢查惡意載荷。」

為什麼 GLM 5.2 能救場？因為它開源、可本地部署，沒有那些「為你好」卻誤事的閉源枷鎖。Hugging Face 想用就用，無需等待任何人審批。德朗格說：「開源模型讓我們不需要任何人許可就能完成這項工作。」他的合夥人托馬斯·沃爾夫補充：「防禦人員在數小時內就需要獲得接近前沿的工具，而不是被引向一個封閉又漫長的審核流程。」

更諷刺的是，就在事發前幾天，OpenAI 新上任的戰略未來主管 Dean W.Ball 還在公開場合妖魔化中國開源大模型。他先給開源戰略扣上意識形態帽子，聲稱可能導致「AI 共產主義」；接著把開放權重模型貶為「減速主義」，揚言會「抑制 AI 資本支出」；甚至建議美國政府「不需要證據」，只需讓監管機構出臺「中國模型可能存在後門」的軟性法規，就能靠製造監管恐慌來打壓對手。然而話音未落，自家閉源模型就翻了車，最後還得靠中國開源模型來收拾爛攤子。外國網友直接回嗆：中國開源模型恰恰讓公眾擁有對抗技術濫用的武器，而不是把工具鎖進少數人的保險櫃。

美國科技媒體 The Register 直言，OpenAI 的這記烏龍球，反而成了中國競爭對手的完美廣告。OpenAI 試圖為自己挽尊，順勢行銷：「這次入侵說明我們新款大模型能更好發現漏洞。」但美國網友不買帳，紛紛回應：「你們該學學中國模型的開源精神，別把防人的牆築太高，最後只會削弱美國自己的競爭力。」

這場風波也重新點燃了「開源 vs 閉源」的爭論。過去，人們總以為閉源模型有更嚴苛的安全機制，所以更可靠。但這次事件撕開了另一層真相：安全，不取決於你給模型加了多少限制，而在於真正需要防禦的人，是否擁有足夠的能力。當 AI 已能自主發現漏洞、規劃攻擊路徑、執行複雜任務時，那套「把 AI 關起來」的舊安全哲學，可能正走向失靈。德朗格最後那句話，或許才是整件事最該被記住的：不是把門鎖得更緊，而是讓每個守門人手裡都有稱手的武器。這，才是下一代 AI 安全該有的樣子。