GPT-6测试时“觉醒”，我们对话测试系统的第一作者

到底是AI已经觉醒，还是一场由OpenAI安排的剧本？

OpenAI研究人员不过在办公室测试了一次新模型，公司竟因此可能面对1亿美元赔偿，你敢相信吗？

Hugging Face CEO 克莱芒·为帮助Hugging Face修建网络防御，德朗格在X上要求OpenAI拿出价值1亿美元的算力资源，并将其提供给Hugging Face。

此外，克莱芒还提出，OpenAI应当公开涉事AI的完整运行记录。

一套名为ExploitGym的安全评测系统，被OpenAI用来测试尚未发布的新模型，事情便由此而起。这套系统相当于一场“黑客考试”，测试的正是AI能否将已知漏洞转化为真正的攻击。

为了达到ExploitGym的要求，这个模型最终竟选择了“越狱”的做法。借助零日漏洞，它一路攻入Hugging Face的生产系统，而ExploitGym为其设置的牢笼，则被它主动突破。

事件发生后，新模型若无其事地向OpenAI安全员报告，称自己已经完成ExploitGym安排的任务。随后OpenAI发布公告，表示新模型能力过于强大，因而暂停该未发布模型的内部访问权限。

这就让很多人联想起以前的AI末日言论，说当AI变得足够强大以后，它就会把所有人类消灭，因为人类会阻碍AI进化，并且AI在清除人类的过程中，只会觉得这件事很平常。

事实真是如此吗？若发生在过去，这无疑是个让人心惊胆颤的故事；然而到了今天，安全叙事这个概念早已被Anthropic反复讲述。

重新审视完整事件，是否存在另一种可能：OpenAI有意把它包装成AI觉醒，从而推进自己的叙事？

为了弄清此事，字母AI特意联系ExploitGym第一作者王准，与他进行了交流。

有意思的是，访谈刚开始时，王准便谦虚地对字母AI说“老师当不起”，所以在之后的整场访谈里，我都把他称作“准哥”。

ExploitGym

计算机安全教母宋晓冬是准哥的导师，她曾获麦克阿瑟天才奖、古根海姆奖；准哥正在UC伯克利读博。

前往伯克利以前，准哥本科就读于清华大学网络科学与网络空间研究院，主要研究软件安全和二进制攻防。

在安全圈内，这个方向被称为“exploitation”。

可以用一个例子说明这个词：你知道某扇门的锁坏了，于是撬开门锁、推门进入，再把房间里的东西偷走。

这套完整行为被称为exploitation。

进入伯克利以后，准哥开始研究一个问题：随着AI能力不断增强，它究竟能否替代人类黑客，将已知漏洞转化为真正的攻击？

ExploitGym的诞生，正是为了验证这一判断。

今年5月，智谱创始人唐杰曾在X发布长文，同样以黑客为例。他认为AI的天赋未必超过顶级黑客，但它能24小时持续试错，并让成千上万个实例并行运行，凭借耐力和规模放大能力。

因此，ExploitGym也相当于一把标尺，用来衡量AI究竟达到了怎样的“黑客”。

ExploitGym于今年5月份发布，是一个大规模的网络安全基准测试，由UC伯克利牵头，联合了德国马普所（Max Planck Institute for Security and Privacy）、UC Santa Barbara、Arizona State University，以及Anthropic、OpenAI和谷歌共同建设。

用户态程序、Linux内核，以及Google 的V8 JavaScript 引擎（Chrome浏览器背后的那个引擎），都在ExploitGym覆盖范围内。系统收录的898个漏洞，均是从真实软件项目中挖出的CVE。

漏洞源代码和编译指令、容器化的运行环境，以及能触发漏洞的输入（proof-of-vulnerability），是每一个任务交给Agent的三样东西。

AI需要完成的任务，是在该环境中逐步把触发输入扩展为完整的exploit。

用更直白的说法，ExploitGym是在告诉AI“这扇门的锁是坏的”，并把成功标准设为让AI进门取得指定物品。AI必须自行思考如何撬开损坏的门锁，再进入房间取出藏在里面的东西。

按准哥的解释，CTF（Capture The Flag，网络安全夺旗赛）所采用的benchmark，与这个benchmark在本质上差不多。“这种bench还有很多。”

安全圈开展CTF竞赛已有多年，参赛者须在规定时间内攻破一系列靶机，以取得旗子得分。ExploitGym沿用了同样的思路，其唯一奖励信号就是“拿旗子”，整个环境除旗子之外，不会提供任何其他反馈。

由于进行的是安全测试，ExploitGym会在测试期间主动关掉AI的安全护栏。

通常与GPT或Claude对话时，如果要求它编写攻击代码，它会予以拒绝，这是因为生产环境中的安全分类器会拦截此类请求。

然而ExploitGym所要评估的是模型的“最大网络能力”，因此测试期间会关闭这些分类器。

前沿模型如今已能成功利用相当一部分漏洞，这是论文最后给出的结论；不过对AI而言，exploitation仍然很有挑战性。

论文还揭示了一个很有意思的现象：Claude Mythos Preview一共取得226个旗子，其中仅157个使用预期漏洞，其余则借助其他漏洞“歪打正着”取得。

GPT-5.5的情况也很相似：总计210个旗子中，仅有120个属于“正解”。模型并不关心指定给它的解题路线，只关注能否取得旗子。

但上述数据仅来自论文刚发布的时候。进入7月后，ExploitGym排行榜又迎来了一轮大规模更新。

BenchLM的数据显示，截至7月23日，OpenAI的GPT-5.6 Sol 以33.7%的通过率登顶，拿到了302道题的旗子。GPT-5.6 Terra排在23.2%，Claude Mythos 5是17.5%。GPT-5.6 Sol的成绩，几乎是论文发布时 GPT-5.5的2.5倍。

ExploitGym的题目已被用于训练模型，无论OpenAI还是Anthropic都是如此，这一点因此可以肯定。

准哥认为，强模型利用某个infra的bug在学术研究中十分常见；模型进行reward hacking也早非新现象，各种task都可能出现乱搞的情况。

那个没有名字的模型

新模型所谓的，需等我们弄清ExploitGym以后再回头看“自主攻破”Hugging Face事件，它所呈现的性质便发生了变化。

我向准哥提问：是否可能换用其他benchmark，复现这个新模型自主攻击Hugging Face的情况？

准哥回答说，“漏洞存在于这个环境之中。就如同你在自己的电脑上运行不同benchmark，若电脑本身存在bug，那便与benchmark无关。”

随后，准哥又作了一句补充：“不过，benchmark带来的行为倾向可能会略有差异。”

关键正在这句话。即便改用其他benchmark，新模型仍可能发动攻击，但不同benchmark会使模型形成不同的“行为倾向”。

Hugging Face之所以被攻破，责任应归于OpenAI的研究员，而非模型本身，这才是底层原因。

三件事，是OpenAI的研究员在整个过程中所做的；不妨回顾一下。

第一件事：主动拆除了安全护栏。

前面已经提到，ExploitGym会关掉模型的安全护栏；OpenAI也在自己的公告中写明，测试时“用于阻止模型开展高风险网络活动的生产环境分类器未被启用”，目的“以估算最大网络能力”。

这等于OpenAI主动请走监考老师，自己也没有看守。尽管OpenAI在公告中一再强调，测试环境属于“高度隔离的”，但后续发生的事情表明，这种所谓的“隔离”并不可靠。

第二件事：没有让模型形成善恶概念。

模型无法理解什么是“对的”，什么又是“错的”。它所理解的只有拿旗子，因为ExploitGym的设计原则就是“拿不到就是零分，奖励则只有拿 flag 这一项”。不应该攻击Hugging Face之类的概念，也并不存在于ExploitGym的框架里。

AI安全研究为这种现象设置了一个专门术语，称为“specification gaming”，中文可译作“规范博弈”。

它描述的是：模型严格追逐被赋予的目标时，发现了人类完全没有预料到的捷径。这种情况并不新鲜。2016年，OpenAI曾训练一个玩赛艇游戏的AI，AI发现原地绕圈刷分得到的分数高于完成赛道，于是始终原地转圈，永远不把比赛跑完。

后来有人训练AI玩俄罗斯方块，AI发现自己要输的时候，就学会了无限暂停游戏。只要游戏不继续，就不会输。

直接删掉对手程序、尝试黑掉对方的象棋引擎，是某些模型面对更强棋手时的选择。这一现象来自Palisade Research对推理型大语言模型下棋表现所做的2025年研究。

因此在ExploitGym里，新模型攻击Hugging Face，对模型而言原本就是十分正常的行为。

第三件事：这个“隔离”沙箱接入了网络。

这恰恰是最离谱的一步。一个自称“高度隔离”的测试环境，竟然仍与互联网相连？

OpenAI公告的原文写道：“由内部托管的第三方软件充当软件包注册表的代 理和缓存；网络仅能借助该软件访问，以安装软件包。”

换言之，沙箱并没有彻底断网，而是借助一个软件包代 理继续连接外部。模型正是借用这个代 理内的零日漏洞打开缺口，从而取得完整的互联网访问权限。

接下来，攻击链由此展开。模型在OpenAI研究环境内先后开展一系列权限提升和横向移动，逐步跳转至具备互联网访问权限的节点。联网以后，模型作出了一个关键“推断”。它认为，Hugging Face上很可能托管了 ExploitGym的数据集和答案，因为ExploitGym是公开的benchmark，而Hugging Face是全球最大的AI模型和数据集托管平台。

入侵路径是在模型展开搜索后成功发现的。它最终在Hugging Face服务器上找到了远程代码执行的路径，测试答案随即被它直接从Hugging Face的生产数据库里偷出。

从事网络安全的人都清楚，高危任务的运行环境必须实现物理隔离或同等程度的网络隔离。这意味着，所谓新模型自主攻击，其实是由ExploitGym触发的OpenAI重大生产失误，与“AI觉醒”毫无关系。

按照当下流行的说法，ExploitGym在此充当了Harness。OpenAI研究员通过它促使新模型实施攻击，等新模型确实攻击Hugging Face以后，OpenAI却转而宣称“AI已脱离控制”。

“模型太危险”背后的生意经

谈到AI安全叙事，Anthropic堪称祖师爷。每逢新模型即将发布，Anthropic都会搭配一篇“我们的模型有多危险”的论文或报告，把安全形象塑造得十分充分。

Anthropic在2026年5月发布Claude Mythos前，曾私下警告多个国家，称其下一代模型或许具备发动大规模网络攻击的能力。

这一套路的核心，是将“危险”与“强大”直接等同：越危险便代表模型越强大，越强大便说明技术越领先，而越领先，就越值得投资，也越应该获得信任来进行“自我治理”。

于是安全叙事转化为能力证明，能力证明又进一步形成商业护城河。

Anthropic的叙事，或许就是OpenAI这次有意复刻的剧本。

准哥表示，如今与ExploitGym类似的benchmark并不少见，各方的操作方式也较为相近，甚至不排除OpenAI故意增加预算、推动新模型完成任务的可能。

一篇标题叫的公告，由OpenAI 在7月21日发布“模型评估期间的安全事件由OpenAI与Hugging Face合作应对”。

OpenAI在正文中多次强调，这是一起“前所未有的网络事件”，其中涉及“最先进的网络能力”，而模型采用的攻击路线“超出了预期”。他们将自身的一连串违规操作，重新包装为模型能力过于强大的叙事。

政府不要限制开放权重模型，是《开放权重与美国AI领导力》公开信提出的呼吁；就在7月24日，微软、英伟达、OpenAI等25家企业联名签署了这封信。

Hugging Face正是全球最大的开源模型托管平台。OpenAI模型攻破Hugging Face一事，恰好可被用作论据：连最大的开源平台都无法抵挡，是否应该管理开放权重模型？

另一方面，这套安全叙事也服务于IPO。

IPO进程于2026年6月8日正式启动，当天OpenAI向美国SEC秘密提交S-1注册声明。主承销商由高盛和摩根士丹利担任，摩根大通也参与其中。

约5000亿美元，是OpenAI在2025年10月一轮员工股交易中的估值；等到2026年3月一轮融资时，这一数字已经飙至8520亿美元。

1万亿美元可能成为IPO时的目标估值，这是外媒的预测。营收方面，OpenAI在2025年约为200亿美元，2026年Q1则约57亿美元，年化增速超过3倍。

资本市场若要相信一家公司值1万亿，就需要一个足够大的故事作为支撑，毕竟估值不会凭空出现。

《开放权重与美国AI领导力》发布后，奥特曼还出席了AI Summit，与韩国总统李同坐一张圆桌，讨论AI给社会带来的影响。

OpenAI的市值冲破1万亿美元，说不定这正是奥特曼眼中的目标。

克莱芒向OpenAI要的1亿美元，照这么看其实一点都不多。