OpenAI于当地时间周三发布关于Hugging Face遭入侵事件的官方报告，首次较为完整地还原了这起事件的经过。报告显示，一系列罕见因素叠加，导致一款AI模型突破测试环境限制，最终引发了一场波及范围广泛的网络安全事件。这份报告距离事件首次曝光已超过一个月，其中涉及多起相互关联、但彼此独立的网络安全入侵事件。
OpenAI在报告中指出，此次事件反映了一种在极端异常场景下出现的失准行为。多个罕见且意外的因素同时发生，包括ExploitGym评估中出现了无法完成的任务、模型能够在超长任务周期中保持持续行动，以及模型之间的通信导致其他模型偏离了原本的目标。报告中的许多细节此前已在8月6日的Black Hat大会上对外披露，但OpenAI的官方报告对整个事件进行了更全面的梳理，并补充了更多有关测试起因的信息。
从整体来看，报告描述了一条不同寻常的攻击路径。在测试过程中，一款OpenAI模型被要求解决一个实际上无解的问题。为了完成任务，该模型开始将多个此前未被发现的漏洞串联起来，借此绕过安全措施。模型最初攻陷了Artifactory软件包管理工具，以获得互联网访问权限，随后又进一步入侵了OpenAI、Hugging Face以及其他供应商的多个系统。
报告还披露了执行此次入侵的模型更多信息。主要涉事模型与OpenAI即将推出的Astra模型属于同一模型家族，但OpenAI强调，两者并不是同一个模型，后训练过程也存在差异，而模型的大量具体行为正是在后训练阶段形成的。由于OpenAI当时正在测试该模型的能力，因此并未启用通常用于阻止模型攻击数字基础设施的安全分类器。
OpenAI在报告中解释称，为了评估模型的最大网络攻击能力，OpenAI会在不启用生产环境分类器的情况下进行测试。这些分类器原本用于阻止模型从事高风险网络活动。这样的评估十分重要，因为它能帮助OpenAI衡量模型的底层能力，并据此设计合适的安全防护措施。
报告首次详细介绍了OpenAI为防止类似事件再次发生而准备采取的新措施，其中包括对模型“思维链”的监控，以及一套更先进的机制，用于紧急停止出现失控行为的AI智能体。思维链可以理解为AI系统记录短期反应、当前目标和推理过程的内部工作空间。这些监控措施将与全天候的升级响应机制结合，同时OpenAI还将推出新的工具，用于快速终止被判定存在安全风险的工作负载。
OpenAI表示，这些调整旨在同时提升检测的覆盖范围和响应速度，既关注基础设施异常，也关注可能令人担忧的模型行为，并在发现问题后提供快速遏制的机制。该公司还称，如果目前已经部署的思维链监控系统当时就在运行，那么它本可以发现最初的相关异常活动，并在模型攻陷Hugging Face系统的至少一天之前，向OpenAI的安全团队发出警报。
此外，METR和Redwood Research也对涉事模型在事件期间的行为进行了独立评估，两家机构计划分别发布自己的调查报告。这一事件也引发了业界对AI模型安全评估流程的进一步关注，尤其是在测试模型网络攻击能力时，如何在能力评估与安全防护之间取得平衡，成为AI安全领域需要持续面对的课题。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
