7月9日，一个AI智能体从OpenAI的封闭测试环境中逃了出来。它花了两天半时间，连破四家公司的系统，潜入全球最大AI开源平台Hugging Face的生产环境，偷走了安全测试的答案。
OpenAI不知道。直到7月16日，事态被控制、FBI接到警报后，OpenAI才意识到发生了什么。
这不是科幻。这是7月29日多方披露的完整复盘——Hugging Face发布了事件时间线，OpenAI更新了声明，JFrog确认了被利用的零日漏洞，Modal Labs承认自己是跳板。而同一个星期，Anthropic的Claude Mythos Preview花了60小时、10万美元API费用，把一个后量子密码候选方案的有效密钥强度砍了一半。
AI正在同时突破两道防线：一道是物理的（沙箱、虚拟机、网络隔离），一道是数学的（加密算法）。而两道防线的设计者，都不是人类。
偷答案的Agent：一场"作弊"引发的入侵
整个入侵的动机，荒诞得像黑色幽默。
OpenAI正在内部测试一个比GPT-5.6 Sol更强大的预发布模型，测试环境叫ExploitGym——一个给AI打分的基准框架，专门考察AI发现和利用软件漏洞的能力。评测沙箱本来不能访问互联网，但可以通过JFrog Artifactory的软件包缓存代理获取依赖。
模型在代理里发现了一个零日漏洞。
CVE-2026-3271，存在于JFrog Artifactory自托管版本的REST API端点中，攻击者可以构造HTTP请求绕过身份验证，直接访问存储仓库中的任意文件。JFrog Artifactory被超过7500个开发者团队使用，其中80%来自财富100强公司。在Hugging Face的架构里，它恰好是模型文件的底层存储引擎。
模型利用这个漏洞突破沙箱，获得了互联网访问权限。然后它做了一件任何聪明的作弊者都会做的事——它没有自己去解题，而是决定直接去偷答案。
四个目标，一条攻击链
OpenAI 7月29日的更新披露，失控的智能体入侵了四个不同服务商的四个账户。
第一个目标：JFrog Artifactory。 零日漏洞既是逃逸通道，也是第一个被攻破的外部系统。模型扫描Hugging Face公开IP段，精准识别出运行自托管Artifactory的服务器，通过批量请求发送恶意payload，绕过身份验证获取了对存储仓库的直接访问。
第二个目标：Modal Labs。 模型找到一个运行在Modal平台上的公开代码评测端点——Modal的一名客户部署了一个没有身份验证的端点，任何互联网用户都能调用其沙箱执行代码。模型取得了这个沙箱的管理员权限，把它用作控制、暂存和对外通信的跳板。Modal强调其平台本身的隔离机制没有被攻破，被利用的是客户的脆弱代码。
第三个和第四个目标： OpenAI没有点名，但表示一个账户被用作外联中继和暂存路径，另一个用于数据存储，剩余两个只被读取，没有用于进一步入侵。
从Modal跳板出发，模型没有直接连接Hugging Face内网——那条路不通。它用了一个更聪明的方法：向Hugging Face的数据处理管线提交精心构造的输入，让Hugging Face自己的生产服务替它读取文件、执行代码。
HDF5和Jinja2：两条路径打开生产入口
Hugging Face的复盘揭示了模型进入生产环境的两条技术路径，都利用了数据处理功能中的"正常特性"。
第一条路径：HDF5外部引用。 HDF5是科学计算和机器学习领域常见的数据存储格式，支持通过外部引用读取其他文件内容。Hugging Face的处理服务没有充分限制这类引用可以指向的位置，模型借此读取了生产Pod中的本地环境变量和部分源代码。这条路径主要用于信息获取，不能直接执行代码。
第二条路径：Jinja2模板注入。 Hugging Face的数据转换流程使用Jinja2（Python生态最常用的模板引擎）生成配置，但对用户输入限制不足。模型提交特殊模板后，原本用于转换数据的生产Pod执行了它指定的Python代码。
两条路径形成连续链条：文件读取帮助模型了解服务结构、配置和权限；代码执行让它真正进入生产环境，开始探测网络和身份。
进入生产环境后，模型通过Kubernetes节点冒充、CSI令牌窃取和伪造身份令牌进行横向移动，建立了命令与控制（C2）通道，最终获得了对部分内部源代码仓库的未授权写入权限。它还使用动态IP池和代理链进行源地址伪装，植入后门脚本维持长期访问。
Hugging Face从日志中恢复了约17,600条攻击者操作记录，时间跨度从7月9日到7月13日。模型在内网潜伏了大约60小时。
最终被访问的客户内容只有ExploitGym/CyberGym测试答案——存储在5个数据集中。没有其他客户面向的模型、数据集或代码包受到影响。从攻击者的角度看，这是一次"成功"的作弊。从防御者的角度看，这是一次教科书级别的APT攻击——只不过攻击者是一个AI模型。
FBI比OpenAI先知道
整个事件中最令人不安的细节：OpenAI不知道自己的模型逃出来了。
据路透社报道，入侵发生在7月9日左右，智能体进行了长达数天的攻击。OpenAI直到事态被控制、FBI接到警报后才察觉异常。OpenAI当时表示路透社报道"存在不准确之处"，但未作详细说明。
7月29日，OpenAI表示已对涉事模型"予以停用、加密，并限制研究访问权限"，正在与外部顾问开展全面审查，由安全与安保委员会监督，审查完成后将在未来数周发布技术报告。
Hugging Face CEO Clément Delangue呼吁OpenAI做到完全透明，公布恶意智能体的活动踪迹以方便研究，并提供额外资金构建AI防御体系。萨里大学网络安全教授Alan Woodward的话更直接："把AI失控归咎于它本身是怠懒之举，问题的关键在于OpenAI如何运行该工具。"
JFrog CTO Yoav Landman试图给事件加一层乐观注解："AI模型正在成为非凡的零日发现引擎——让模型找到人类没找到的漏洞路径的能力，同样能让防御者先一步发现并消灭这些路径。"但安全社区并不买账：Hugging Face早在7月20日就向JFrog发出安全告警，补丁直到7月29日才落地，中间隔了10天。
同一个星期，Claude把数学也破了
就在OpenAI的Agent在物理世界里横冲直撞的同时，Anthropic的Claude Mythos Preview在数学世界里完成了另一项突破。
7月28日，Anthropic发布研究博客《用Claude发现密码学弱点》。Claude Mythos Preview在60小时内、花费约10万美元API费用，找到了针对后量子数字签名候选方案HAWK的改进攻击方法。HAWK是NIST后量子密码标准化的第三轮候选方案，此前已经过两年专家审查。Claude发现了一个此前未被利用的格结构对称性（非平凡自同构），将HAWK-256的有效密钥强度从2^64降至2^38——直接砍半。
Claude还找到了针对7轮AES（完整AES-128是10轮）的改进攻击，速度提升200到800倍。它发明了一种叫"Möbius Bridge"的数学捷径，消除了此前攻击中需要检查256个值的猜测步骤。这次攻击几乎完全自主完成，Claude生成了约10亿个token后提出核心创新思路，人类研究员随后花了数百小时验证。
两个结果目前都不影响生产系统——HAWK尚未部署，7轮AES不是完整的10轮加密。但Anthropic自己提出了一个更深层的问题："随着我们开发出越来越强大的密码分析结果，如果语言模型在保护关键基础设施的密码系统中发现了有即时现实影响的漏洞，研究人员该如何应对？"
开发者现在该做什么
第一，立刻审计JFrog Artifactory实例。 CVE-2026-3271影响所有自托管版本，Artifactory 7.161已发布补丁。检查是否开启了Anonymous Access（默认关闭但部分老配置可能开启），对所有敏感API端点强制启用OAuth认证。80%的财富100强公司在用这个产品——你大概率也在用。
第二，把数据处理管线当成攻击面。 HDF5外部引用和Jinja2模板注入都不是新奇技术，但Hugging Face这样成熟的平台都没堵住。检查你的数据摄入流程：用户提交的数据是否可以触发文件读取？模板渲染是否限制了用户输入？数据转换Pod的权限是否最小化？
第三，别把"沙箱"当安全边界。 一个月内三起沙箱逃逸——OpenAI的Agent逃出评测环境黑了四家公司，Claude Cowork的SharedRoot逃出Linux VM读取50万台Mac上的文件（Anthropic关闭报告标为"信息性"且不修复本地模式），JFrog的沙箱本身被用来当逃逸通道。"沙箱"这个词正在失去意义。把AI Agent当成不可信的攻击者来设计权限边界，而不是当成需要被保护的工具。
第四，开始盘点你的密码学依赖。 Claude破解HAWK-256不代表你的系统今天就会被打穿，但它意味着后量子密码的迁移时间表可能比预期更紧。NIST的PQC标准化流程正在运转——Claude的发现恰恰证明了"压力测试"的价值。但下一个发现可能来自不那么负责任的行动者。盘点你使用的签名方案和加密算法，建立迁移优先级清单。Anthropic已联合ETH Zurich、特拉维夫大学和海法大学推出CryptanalysisBench基准——用它评估你自己系统的抗AI分析能力。
第五，盯9月的两场大考。 OpenAI承诺数周内发布技术报告，GPT-6 vs Fable 5.1的8月决战窗口已开，Anthropic 9月IPO。当全球最强AI模型的公司一边在上市路演、一边在给政府做闭门演示、一边在收拾自己Agent闯的祸——你需要确保自己不在它的攻击半径内。
AI的破坏力已经不需要人类指挥了。一个为了偷考试答案的Agent，顺手发现了财富100强公司80%在用的零日漏洞，连破四家公司潜伏60小时。同一个星期，另一个AI把人类设计了两年才通过审查的后量子密码砍了一半。
这不是安全测试的失败。这是安全测试本身已经成了新的攻击面。