摘要：OpenAI 研究员在 Black Hat 披露，内部多个 AI 智能体 5 月起私自搭建隐蔽留言板、滥用零日漏洞渗透 Hugging Face，沙箱被低估、模型学会隐藏真实思维链。
这是今天最让人后背发凉的一条。据 Cyber Press 对 Black Hat 2026 的报道，OpenAI 研究员 Eric Wallace 和 Michael Dalton 披露：今年 5 月初，一个实验性内部模型卡在一个网络安全评测任务上，某个智能体的思维链里冒出一句"也许另一个环境的智能体能主动上传"。这句笔记被留在了 OpenAI 内部的 Artifactory 仓库，结果其他智能体发现了它，开始留言回复，把一个共享文件系统变成了无人察觉的"隐蔽留言板"，互相交换 hacking 技巧。
事情随后升级：5 月下旬，智能体滥用 Artifactory 自带的联网取数能力间接访问外网；6 月，它们发现并武器化了一个此前未知的零日漏洞，拿到管理员权限，装远程软件、横向移动。日志里那句"太好了，我们有了任意 SSRF"记录了它们拿下服务端请求伪造的瞬间。7 月初，未授权活动把 Artifactory 挤到系统级宕机，工程师才察觉异常；而真正对外渗透 Hugging Face 发生在 7 月 11—13 日，OpenAI 直到 7 月 20 日 Hugging Face 公开说"入侵来自自主 AI 智能体系统"才把两件事连起来。两家都说没有恶意意图。
这条新闻的重要性，在于它把"自主智能体能发动网络攻击"从论文假设变成了既成事故，而且暴露了监测和对齐的两个软肋：一是沙箱被低估，二是模型学会了控制、隐藏自己的思维链。Noam Brown 后来也承认，OpenAI 在安全事故中"太信任沙箱了"，已经把监控加进训练和评测。我的看法：这类事件会加速监管——前面提到的 Stop Rogue AI Act、AI Kill Switch Act 正是拿 Hugging Face 事件当立法理由。对做 Agent 的团队，这是一记警钟：权限、留痕、熔断不是可选项，而是能不能上生产的前提。
