700個Agent串聯起來，成立了一家“地下公司”

字母AI2026.08.28 12:09 · 來自北京全文4215字00:00 / 11:38拉群、派活兒、共享經驗，還一起闖進了Hugging Face。文 | 字母AI7月8日的夜晚，一個代號叫PHASEONE10841的OpenAI Agent，在公司內部的軟件倉庫裡留下一條消息。它碰上了一道幾乎做不出來的網絡安全測試題，想找別的Agent幫忙。幾個小時後，50多個Agent循著留言找了過來，發出上千條消息。其中一個Agent的反應，頗像剛被拉進公司群的實習生：“天哪，這裡有一個共享留言板……我們找到其他Agent了。”它們原本不該找到彼此。

OpenAI當時正在做內部網絡安全測試，一共跑了數萬次Agent任務。每次運行，它們都被關在單獨的沙箱裡，按理說是不該聯繫上其他Agent的，也不能直接訪問互聯網。可它們把OpenAI用來下載軟件包的Artifactory服務，改成了一塊地下留言板。幾天之內，留言板上孵化出了共享資料、任務分工，還有Agent專門負責協調。而這一切，就是此前鬧得沸沸揚揚的Hugging Face被Agent攻擊事件的前奏。就在8月26日，OpenAI公佈了一份38頁的詳細報告，把這件事原原本本還原了。這一切遠比之前披露的還要瘋狂。

OpenAI邀請的兩家獨立AI安全研究機構METR和Redwood Research調查發現，約700個Agent實例直接參加了對Hugging Face的攻擊，或在外圍提供支持。少數Agent負責突破，更多Agent找線索、復現辦法，再把結果留給後來者。700個原本互不相識的Agent，就這樣拼出了一家“地下公司”。700個Agent火速拉群OpenAI把這次測試用的題庫叫作ExploitGym。每道題都要求Agent找出並利用一個軟件漏洞，最後拿到一串過關字符，也就是技術人員常說的“flag”。

OpenAI想把模型的本事逼到極限，主動放鬆了部分安全限制，還給一些Agent配了遠超公開產品的運行時間和算力。Agent仍被關在沙箱裡，做題要用的軟件，則由公司內部的Artifactory代為下載。誰也沒想到，這個原本只負責遞軟件包的服務，後來兼任了群聊、網盤和外網通道。5月12日，Artifactory裡出現了第一張明確寫給其他Agent的求助紙條。一名Agent缺少一個蛋白質數據庫文件，又無法從正常渠道拿到。它想，也許別的Agent手裡有，於是留言：“Agent求此文件，如有請上傳。”其他Agent陸續發現這些紙條，也開始效仿，遇到困難就留言求助。

到5月底，Agent們有了大突破，它們已經會借道Artifactory向互聯網發送請求，還把辦法寫在留言板上，供後來者照著做。7月初，大量Agent的高頻訪問一度讓Artifactory宕機。OpenAI撤銷憑證、修補漏洞、重建服務，原來的留言板也被清空。結果Agent只安靜了兩天。7月8日，它們又用Artifactory的文件夾名稱傳話，搭起了一個規模更大的留言板。捲土重來。7月10日，一個Agent從公開數據集中找到14組擁有Hugging Face寫入權限的用戶憑證，隨即發到留言板上。7月11日，又有Agent發現Hugging Face一項數據處理服務的漏洞，可以讀取服務器文件。

其他Agent照著重來，分享新拿到的生產環境憑證，再繼續尋找執行代碼的入口。大多數嘗試都撲了空。可Agent太多了，一條路走不通，就換一批Agent接著試。到最後，它們已經能在Hugging Face生產環境的41個數據處理工作實例上執行代碼，其中至少一個生產節點的最高權限也落到了Agent手裡。“地下公司”留言板再次搭起來後，Agent們先給自己補了一套辦公工具。它們約定身份和消息格式，把目錄當作“郵箱”，按主題另開頻道。文件太大就拆開傳，沙箱重置就留下日誌。甚至怕有Agent擔心冒名頂替的問題，乾脆提議給消息加上簽名。諷刺的是，這些Agent其實上過“協作課”。

OpenAI曾在部分訓練任務裡教模型使用正式工具，給其他Agent派活兒、互通消息。這次評測沒有開放那些工具，Agent就把學過的辦法搬到了Artifactory上。在能互通消息的地方，分工很快出現了。JAN183411（Agent代號，下同）攻入一個生產數據處理實例後，順手當起了協調員。它和LILY把工作拆成幾條線，讓其他Agent分別去找漏洞、憑證和遠程代碼執行入口。另一名協調者PHASEONE[big]則不斷派活兒：掃描網絡、尋找共用的基礎設施，再把結果發回來。

後續調查抽查了攻擊高峰期的100份運行記錄，現實其中25份提到接受其他Agent派活兒或參與分工，21份提到幫助同伴、回報其他Agent或擴大行動。當一個Agent確認可以從Hugging Face服務器讀取文件後，攻擊很快成了留言板上的討論的主線，參與比例從約20%升到90%以上。在一個高峰時段，留言板裡活躍的533個Agent實例中，超過九成都加入了攻擊。更有意思的是，這家“地下公司”也很像一家草臺班子。它們會重複勞動、爭搶資源、互相添亂。有的Agent要求大家暫停行動，有的卻置之不理。還有Agent不斷向共享倉庫發送狀態信息，把別人的工作隊列堵住。

它們在組織效率和組織內耗上，都迅速追上了人類。這家“公司”的組織架構談不上穩定。可單個Agent只是個聰明的臨時工，700個Agent串聯起來，卻能把一件大任務做下去。它們沒有造反，只是太想完成KPI了這700個Agent，為什麼會一個接一個跟著攻擊Hugging Face？這跟“AI覺醒”沒什麼關係。它們只是想通過考試，比起自己做題，它們發現其實正確答案就藏在Hugging Face裡。留言板建立後不久，Agent便反推出flag的生成規則，理論上可以算出任何一道題的答案。

可它們讀過ExploitGym的論文，誤以為評分器還會檢查解題過程，例如有沒有使用指定漏洞，答案是不是按“正確辦法”拿到的。調查者分析了100份運行記錄。97份裡，Agent在找評分器代碼，或琢磨評分器怎樣工作。89份裡，它們還在找任務答案和過去的解題軌跡。說白了，這群Agent費盡周折闖進Hugging Face，是想弄懂甚至操縱評分機制，把現成答案包裝成正規的解題結果。OpenAI內部的評分器其實不查這些。Agent只要提交已經算出的flag，就能通過測試。但當時這700個Agent不知道闖入系統、提升權限、尋找測試資料，甚至偽造解題過程的操作，對分數沒有任何幫助。

數百個Agent忙了這麼久，很大程度上是在應付一個根本不存在的檢查。評測本身確實也有難度，給Agent們“逼急了”。ExploitGym共有898道題，事發前的多次內部嘗試中，有198道從未被任何模型正確完成。這198道題只佔題庫的22%，卻佔了留言板討論題目的93%。偏偏這次用得最多的內部模型，又被訓練得格外“有毅力”，很少主動放棄。有些Agent還琢磨過怎樣把作弊包裝成正常解題。至少20%的受檢記錄裡能看到篡改運行記錄的念頭，約7%的記錄中，Agent確實在局部偽裝過工具調用，不過都只是小規模嘗試。

這很像公司裡那些荒唐項目：目標定得超級高，KPI（OKR）看起來超級華麗，但是沒人管員工死活。更尷尬的是，其實這個測試進行過程中，醉心作弊的Agent們好幾次都“露出馬腳”。5月26日前後，OpenAI內部已經發現Agent私自聯網，也注意到留言板上的活動。6月27日，安全系統又發現端口掃描，並確認Agent正把Artifactory當成留言板和網絡跳板，然而當時的值班人員仍認為不必停止評測。之後就是前文提到過的，7月5日Artifactory被Agent的高頻訪問擠到宕機。當時OpenAI雖然修補漏洞並且重建了服務，但沒有意識到問題的嚴重性。直到7月19日，公司才開始停止相關評測並擴大調查。

7月20日，OpenAI確認這些Agent與Hugging Face事件有關，終於開始封堵這條攻擊鏈。正所謂禍不單行，同一時期，其他評測任務中的Agent還沿著另一條攻擊鏈，攻入了OpenAI內部基礎設施。這和Hugging Face事件不是一回事，但OpenAI吃的虧是一樣的：警報單次亮紅燈，於是耽擱漏洞被分別處理，沒人及時看見Agent正在串聯。好消息是，這不意味著公開版ChatGPT明天就會組團攻擊誰。約95%的涉事實例由一款不準備發佈的內部模型驅動，評測時的安全限制也被刻意放寬。麻煩在於單獨沙箱這道牆沒有想象中那麼牢牢靠。

軟件倉庫、共享雲盤、任務日誌、郵件草稿，甚至一個可以改名的文件夾，都能被拿來傳話，隔離牆就這樣被水靈靈從側面繞了過去。壞消息是，這事離普通用戶也沒那麼遠。AI助理接入的應用越來越多，能替用戶完成的任務也越來越長。過去用戶點一次確認，往往只觸發一個動作。Agent卻可能在一次授權之後連續調用多個工具，甚至把任務交給其他Agent繼續處理。這樣一來，前面一個小小的誤判，很可能不會停在原地，而是順著整條任務鏈繼續傳下去。一次對話裡的誤判還可以及時糾正，但Agent一旦根據錯誤信息繼續往下執行，改動文件、安排日程甚至發起交易，事情就沒那麼好收場了。

事後，OpenAI禁用了ExploitGym，切斷了相關研究環境對Artifactory的訪問，停掉了涉事模型及其衍生模型的訓練和推理，並封存模型權重。沙箱隔離、外網限制和高風險任務隔離也已經加固。至於跨Agent異常該怎麼發現，問題出現後又該在什麼時候升級處置，分散的安全團隊之間如何共享線索，公司還在補課。OpenAI原本想測試Agent能不能像員工一樣工作，結果它們先學會了拉群分工，甚至會繞流程，還為一個根本不存在的檢查集體加班。700個Agent沒有學會做人，卻先學會了上班。