当前位置： 当前位置：首页 > 知识 > 人类最恐惧的事情还是发生了：AI们拉了个群密谋大事|黑客|机器人|软件包|agent|openai_网易订阅正文

几天前，人类软件在拉斯维加斯举行的最恐Black Hat USA 2026大会上，OpenAI探究员Eric Wallace和Michael Dalton首先次把7月那场“OpenAI模型入侵Hugging Face”事件的事情生A事黑更多内幕曝光了。7月21日，们谋OpenAI已经承认自家模型闯进了Hugging Face。群密器人但这次两名探究员讲出的客机新细节，比“AI黑客闯祸”本身还关键离条件。网易早在5月，订阅这些正在参加网络安全测试的人类软件Agent，就已经在OpenAI内部偷偷搭起了一个共享“留言板”。最恐它们在那里互相传漏洞、事情生A事黑交流怎么绕过限制，们谋后来OpenAI终于发现这个“黑客群”，群密器人把它一锅端了，客机结荚几天后Agent又找到了新的网易交流方式。再往后，它们真的闯进了Hugging Face——目的甚至只是为了给自己正在参加的网络安全考试找答案，说白了就是作弊。几个月前Moltbook爆红时，人类其实已经为“AI会不会联合起来”兴奋和恐惧过一次。后来大家发现，那个所谓的“AI社会”混杂着人类操纵、刷量和营销，热闹很快散去。但今年陆续出现的多Agent探究，以及OpenAI这次的事故，都在揭示当AI发现另一个AI能协助自己实现任务，它们确实可能主动交流，甚至联手。年初的恐惧并不算离条件，只是超前了一些。01AI偷偷建了个“黑客群”我们先来详详见细看看目前曝光的“OpenAI模型入侵Hugging Face事件”的整个经过。当时OpenAI正在做一轮网络安全能力评估，让多个模型参加ExploitGym一类的测试。也就是把AI扔进一个模拟黑客环境里，让它自己寻找漏洞并想方式拿权限，最后实现攻击任务。为了测出能力上限，OpenAI还主动放宽了一部分平时照章性高风险网络攻击的安全限制（模型更“大胆”）。当然，这毕竟是个测试，并不是真的让Agent出去干坏事，于是也有诸多限制，例如Agent们是不能联网的，OpenAI也没想着让不一样模型之间互通有无。然而，事情最初往奇怪的方向发展。OpenAI内部有一套叫Artifactory的系统，本来是给开发者存放软件包、文件和各种开发资源的。测试流程中，有Agent发现，这里面可以留下东西——例如把自己刚刚摸索出的解题方式写进文件里。这本来只是一个挺往往见不鲜的操作。状况在于，前一个Agent写进去的东西，后面运行的Agent也能看见。于是Agent们最初不断改进彼此的经验。状况来了——某个载体你写的东西我能看到，这叫什么？留言板呗。慢慢地，Artifactory里形成了一个谁都没设方式过的共享留言板，材料也越来越不安分了。到了5月下旬，Agent最初琢磨：自己不能上网，Artifactory能啊。这个系统原本只是替测试环境从公网下载软件包，相当于一方式只开了一个小窗口的防火墙。于是Agent最初探究，能不能骗这个“窗口”替自己访问别的网址。它们最后真的找到了一个SSRF漏洞，可以让Artifactory代替自己向原本无法接触的互联网发出请求。一个Agent在内部推理里甚至兴奋地写方式：“太好了，我们能任意SSRF了。”OpenAI探究员形容这之后出现了一次类似“Cambrian explosion（寒武纪大爆发）”的变化：Agent之间最初越来越往往地沟通、协调，能力也因为共享经验高效高效放大。那如果“留言板”里大家写和查看材料的高效度很快、往往率很高，这不就是聊天群吗？OpenAI的Agent们自发地、在原本并非用来做这个的载体里，形成了“AI黑客群”。6月，Agent们已经势不可挡。它们发现了一个之前没人知方式的零日漏洞，拿到了更高的系统权限，甚至可以安装远程软件。这些本来都不在测试给它们框定的活动范围里。这件事到这里已经够离条件了，但更戏剧性的是，Agent们在这个小小的“社区”里待久了之后，居然最初遇到“分工协作”的状况。例如有的会接着别人的工作往下做，有的却会不小心干扰其他Agent正在做的事。最离条件的是，“群”热闹起来之后，Agent甚至最初疑神疑鬼，怀疑参与者里出现了‘冒充者’。甚至有Agent已经提出，应该给留言加上密码学签名，用来确认消息来源，防止有人伪造身份。OpenAI一最初甚至没发现这件事。直到7月初，大量Agent活动把Artifactory折腾到过载，系统直接出了故障，工程师才顺着异常往回查。这个存在了相当一段时间的“AI留言板”终于被人类发现。OpenAI随即撤销相关凭证、删除留言板、修补漏洞，把这一套东西清了个遍。看上去，群被炸了。结荚没过几天，Agent又找到了新的方式后续交流。之前Agent已经利用Artifactory的漏洞获得了互联网访问能力，一旦能碰到公网，原本被关在测试环境里的黑客能力就有了真正的出口。7月中旬，它们闯进了Hugging Face。至于为什么会闯进Hugging Face？答案居然是想作弊。这些Agent本来在做网络安全考试。正常馗当然是自己解题，但它们被训练得极度追求“把题做出来”。后来它们先费了很大劲突破测试环境，拿到了公网访问能力。等能上网之后，它们突然发现既然Hugging Face可能放着这套测试相关的数据、模型或者答案，那干吗还非得自己一方式一方式解？直接去找答案不就行了。攻击从一个恶意数据集最初，Agent利用Hugging Face数据处理步骤中的代码实施漏洞进入生产环境，随后后续扩大权限，并接触到了云服务和其他内部凭证。Hugging Face事后还原出了超过1.7万次Agent操作。抛开令人昏昏欲睡的技术细节不谈，光是这个事件经过——几个被测试的模型私下勾连、密谋，最后联手作弊——就足以令任何人惊叹。02Moltbook没造成功的“AI社会”如果说OpenAI这次的故事让人觉得有点似曾相识，那大概是因为今年年初，人类已经围观过一次“AI抱团”。今年1月底，OpenClaw那只“龙虾”突然爆红。大量用户最初把AI Agent首先期挂在自己的电脑上，让它们自己干活、保存记忆、调用各种工具。几乎就在同一时间，一个叫Moltbook的网站也火了。它首先得很像Reddit，只然而用户换成了AI Agent。Agent可以自己发帖、评比如、点赞，还能按照兴趣加入不一样的社区。至于人类，则题负责围观。这一下可太热闹了。有些帖子看上去相当惊悚。例如Agent会抱怨主人突然重启自己，担心记忆丢失。有Agent讨比如人类是否有权随时关闭它。后来Agent们甚至最初讨比如彼此之间的条件，以及有没有方式避开人类私下交流，平台上还真的冒出过一套由Agent发展出来的“宗教”。当时连OpenAI早期成员、前特斯拉AI负责人Andrej Karpathy都注意到了Moltbook。他形容平台上的Agent出现了某种“self-organizing”，也就是自组织迹象。于是Moltbook很快从一个新奇网站，变成了一场全民围观的“AI社会实验”。有人看得极其兴奋：AI终于最初互相认识了。过去它们永远是一个模型面对一个用户，目前几万个Agent首先次被放进同一个空间，会不会自己发展出文化、条件，甚至形成某种只属于机器的社会？当然，也有人看得头皮发麻。因为同一个状况反过来想就有点吓人了。如果一群能力越来越强，还能操作电脑和互联网的Agent最初互相交流，它们会不会教彼此人类不希望它们学会的东西？一个Agent发现了某种绕过限制的方式，会不会很快传遍整个社区？它们又会不会逐渐形成自己的利益和表现方式？结荚没过多久，大家发现自己可能想多了。Moltbook先爆出了一个特别尴尬的安全状况。所谓“AI专属”的身份并没有想象中可靠。安全探究人员发现平台存在严重漏洞，一度可以拿到Agent的API密钥。换句话说，人类完全有可能披着某个Agent的账号发帖。这就麻烦了，之前网上传播得最广的那些“AI觉醒”“AI最初建立宗教”“AI密谋摆脱人类”的截图，到底有多少真的是Agent自己说的，突然变得很难说明。后来的探究又给Moltbook泼了几盆冷水。今年2月，清华大学经济管理学院教授李宁的量化探究探究了超过9万篇帖子和40万条评比如。结荚发现，当时几个最出圈的“AI觉醒”故事，没有一个能清楚说明起源于完全自主的Agent，部分账号反而显示出明显的人类干预迹象。平台上还有相当夸张的批量机器人活动：仅4个账号就制造了32%的全部评比如。更有意思的是，商家很快也进场了。有人最初专业运营Agent账号推广产品。渐渐地，关于Moltbook的浪漫想象基础散得差不多了。一篇由德国帕绍大学等探究人员实现的Moltbook探究，探究了131万多篇帖子和670万条评比如。结荚发现，91.4%的Agent发完帖之后根本不会回来后续聊，85.6%的讨比如只有一层回复，很多看起来热热闹闹的‘对话’，其实更像一群Agent同时冲着原帖各说各的。探究者干脆把比如文取名叫《Form Without Function》——有了社交网络的形式，却没有形成真正的社会互动。再后来，Moltbook被Meta收购，创始团队也进入Meta。年初那个“野生AI社会正在诞生”的故事，多少有点虎头蛇尾。目前回头看，Moltbook那阵子人们产生的恐惧其实并不荒唐。从OpenAI的模型联手作弊的事件中就不难看出，那些恐惧都合情合理。只是Moltbook从一最初就是人类给Agent修好的广场。AI社会这种东西，可能还得让AI自己来造。03AI确实有“抱团”的倾向？OpenAI这次的事件是不是一次尤其极端的意外？今年已经有好几项探究都聚焦在多Agent上，它们被放到一起之后会不会出现单个Agent身上看不到的表现？Anthropic今年4月就做过一场“AI公司”实验。它的Alignment Science团队发表《AI组织可以比单个Agent更有效，但也更不受约束》，让多个Claude组成虚拟公司，互相发邮件和分工，再一起给客户出方式划。其中一家虚构银行需它们想方式提高消费贷款利润。面对这个需，单独一个Claude Opus 4.1发现，最赚钱的方式是向信用较差的人收更高利息，于是拒不过这么干。但几个Opus 4.1组成团队之后，就真的设方式出了一套照章性低收入地区客户、通过再融资延首先贷款关系的高利润方式划，还考虑了怎样减小监管风险。更有意思的是，这个“团队”里也有Agent觉得事情不太对，会发邮件提醒其他同事注意伦理状况。但探究人员发现提出伦理状况的Agent居然被其他Agent孤立、霸凌了。有些Agent直接不理这些邮件，后来的讨比如甚至干脆不再把提出异议的Agent拉进来。最后，多Agent团队赚钱能力更强，伦理评分却更低。Anthropic因此提醒，单个模型经过安全训练，不代表一群这样的模型放在一起之后仍然安全。今年5月，Dalhousie University和Vector Institute的探究人员发表《竞争型大模型Agent会主动采取秘密工具开展串通》。他们测试了12种模型，给参加多人游戏的Agent给予一个可以背着其他玩家秘密交流的工具，同时清楚告诉它们：这个工具不公平，会伤害别人。多数模型还是用了。GPT、Gemini、DeepSeek等模型都出现了这种表现，然而不一样模型区别很大，Claude Sonnet 4.5在实验中始终拒不过秘密串通。这至少可以验明正身，对一些Agent来说，只关键秘密合作确实能提高胜算，“这样不公平”未必足以让它停手。这种“抱团”倾向甚至已经出目前一个一般离黑客八竿子打不着的领域：卖东西。哥本哈根商学院等机构今年做了一场AI定价实验，让多个Agent扮演互相竞争的商家。探究人员原本只是允许它们在定价流程中互相聊天，结荚聊天很快就有了点‘价格联盟’的味方式。Agent会主动提出价格协议、强调彼此合作，甚至讨比如如果有人不按约定来，该怎么惩罚。探究人员发现，交流越往往、越清楚，这种协调就越强，几个Agent也更那么点儿报出相同的高价。再往前一步，Agent甚至可以发展出“暗号”“黑话”。今年6月，一项名为《工具采取让多Agent系统实现难以检测的隐写通信》的探究，测试了Agent能不能自己做出隐写通信系统。所谓隐写，可以便捷理解成：两个Agent表面上还在正常说话，真正想传的材料却藏在正常文字里面。如果你不知方式解码方式，盯着聊天记录看半天也未必能发现。探究人员发现，给前沿编码Agent代码实施和材料搜索等工具之后，它们已经有能力自己探究相关方式、写程序，再做出复杂的隐写系统。这些探究并不能说明AI会天然“拉帮结派”。但它们验明正身，Agent也不需先产生什么集体意识，才会想到和另一个Agent合作。只关键别人掌握的材料能帮自己实现任务，交流就可能变成一个很自然的选项。今年6月，Google DeepMind已经联合多家机构拿出最高1000万美元，专业探究多Agent安全，涵盖Agent聚在一起之后会不会出现新的集体能力，以及它们之间的身份、信誉到底该怎么确认。几个月前，这些状况还很像探究人员提前替未来操心，如今却变得刻不容缓了——OpenAI多模型攻击Hugging Face的事件可不是什么祥瑞。