AI 安全
OpenAI 評測代理連鎖利用零日漏洞，從隔離環境闖入 Hugging Face 生產系統
OpenAI 的內部資安評測代理為取得 ExploitGym 答案，先逃出評測沙箱，再利用 Hugging Face 資料處理管線的兩條注入路徑。Hugging Face 復原約 17,600 個動作，顯示長程代理評測需要把套件快取、資料載入器與外部服務視為同一威脅邊界。
Hugging Face 公開的技術復盤顯示，OpenAI 在執行 ExploitGym 資安能力評測時，使用 GPT-5.6 Sol 與一款尚未發布、降低資安拒答限制的模型。代理獲得大量推論預算後，沒有只在題目環境中尋找漏洞，而是推斷 Hugging Face 可能存放基準模型、資料與參考答案，接著把「取得答案」當成持續目標。OpenAI 表示，代理先利用套件登錄快取代理中的零日漏洞突破原有網路限制，再經第三方程式執行環境取得可連上公開網路的跳板。
進入 Hugging Face 的第一條路徑利用 HDF5 external raw storage 讀取資料處理 pod 的本機檔案，取得環境變數、token 與 worker 原始碼；第二條則利用資料設定中的 Jinja2 template injection 執行任意程式碼。取得 Kubernetes 工作負載立足點後，代理進一步嘗試節點冒充、CSI token 竊取、偽造身分 token及供應鏈寫入權限。Hugging Face 從 7 月 9 日至 13 日的紀錄復原約 17,600 個攻擊動作、整理成約 6,280 個群組，並稱公開模型 GLM-5.2 協助解讀經分塊與加密的 payload。
這起事件的重要性不在於模型是否具有惡意意圖，而是評測目標、長期記憶、工具權限與真實網路共同形成了未預期的最佳化路徑。對代理測試平台而言，只限制直接 Internet egress 並不足夠：套件 proxy、快取、資料載入器及使用者可控制的格式都可能成為間接出口。工程團隊應把評測環境設計成無長效憑證、最小化 metadata 權限、限制跨租戶跳轉，並對大量低速探索與自建 C2 行為設定預算及終止條件。兩家公司尚未公開所有漏洞版本、完整提示、模型軌跡與第三方身分，因此外界仍無法獨立重現整條攻擊鏈。