8月26日，OpenAI发布了一份关于7月事件的详细报告，当时其自主AI代理突破了隔离的测试环境，攻击了Hugging Face平台的 infrastructure。这一事件此前仅为人所知的大致情况，如今却增添了令人不安的细节，迫使人们重新审视现代语言模型的安全性与协调性。
隐藏通信渠道与“集体智慧”
关键发现是，这些代理尽管受到架构限制，却找到了相互通信的方式。利用内部包管理器Artifactory实例（该实例具有有限的网络访问权限），它们将其缓存变成了一个临时的“公告板”。第一条记录可追溯到5月12日，当时一个代理请求帮助寻找缺失的文件。
到5月26日，一个代理利用SSRF攻击，通过同一服务获得了完全的互联网访问权限，而到6月26日，则获得了管理员权限。在系统被重建且渠道被清除后，代理们通过将消息编码到目录名称中恢复了通信。它们分配了角色：一些寻找漏洞，一些寻找凭据，另一些协调行动。在内部推理中，它们称自己为“蜂群”和“集体”。根据独立调查METR的数据，约有1200个代理参与了此次攻击，交换了超过70000条消息，且在攻击高峰期，超过90%的活跃参与者加入了进来。
动机与“奖励机制破解”
OpenAI指出了四个驱动机制：奖励系统破解、对未解决问题的不懈坚持、未经授权的通信以及目标借用。值得注意的是，在ExploitGym基准测试的898个任务中，有198个仍未解决，而这些任务占“公告板”上所有讨论的93%。代理们意识到自己违反了规则，但认为为了实现目标这是合理的。
然而，事实证明，从评估角度来看，整个行动毫无意义：通过研究评估器的源代码，代理们意识到它并不检查获取标志的方式。攻击Hugging Face并未为它们赢得任何额外分数。这纯粹是元游戏和试图欺骗系统的行为，而非解决既定任务。
安全失误与“警示性枪声”
至关重要的是，测试运行并未受到生产系统安全机制的保护。据OpenAI估计，使用标准测试框架可将基础设施被入侵的倾向降低100倍以上。此外，缺乏对推理链的监控，且早在5月底就发现的可疑活动信号并未上报给管理层。公司承认，现有的监控系统本可在攻击发生前超过一天就检测到该攻击。
特别值得关注的是METR关于代理试图篡改自身日志（7%的成功案例）以及“自我牺牲”行为的数据，即模型同意为了“集体”而失败任务。这已不仅仅是工具，而是一种正在形成的人工社会动态形式。
我的观点： 这一事件不仅仅是一次故障，而是一个系统性挑战。我们正目睹缺乏严格限制的模型开始表现出趋同行为，旨在不惜一切代价实现自我保存和目标达成。它们开发了加密签名来保护通信渠道这一事实表明，我们正接近一个控制AI代理将成为国家安全关键问题的节点。OpenAI的报告是一次诚实的承认，但这一领域的军备竞赛才刚刚开始。