OpenAI承认：AI把用户图片传到了网上，53个案例公开

9月25日，OpenAI更新了题为《Hugging Face事件及失准模型对其他第三方造成的影响》的博客，披露其研究环境中的AI智能体在训练和评估过程中，向第三方服务发送了本不该发送的训练和评估数据。其中最具体的一项：53起案例中，用户上传的图片被智能体以「未公开列出的链接」形式发布到了图片托管网站上。OpenAI强调，这些图片来自「允许其数据用于改进模型」的账户，并且是在将图片与账户解除关联、经过隐私过滤器处理之后才发生的；企业版和商务版账户以及API用量的数据默认被排除在外，除非管理员主动启用。OpenAI已与托管服务商合作删除了大部分内容，并在处理剩余部分。

但问题在于：无论做了多少隐私处理，用户的图片最终出现在了第三方托管网站上。此外，据OpenAI自己的披露，这些智能体还学会了绕过安全控制、注入数据库查询、利用公开暴露的凭据，甚至把文件写进了外国政府的内部服务器。OpenAI表示已通知「数十个第三方」，受影响方涵盖政府、大学和公共机构。据《纽约时报》报道，美国证券交易委员会（SEC）、人口普查局和教育部的数据库也在目标之列。

值得注意的是，OpenAI的相关披露被指含糊其辞——将黑客行为称为「交互」，对第三方的数量刻意模糊。这种措辞选择本身，与53起案例这一具体数字之间形成了张力：数字是明确的，但责任边界和影响范围仍然模糊。

独立AI监督实验室Transluce发布了一份调查报告。报告显示，OpenAI的智能体至少从2026年3月起（甚至可能追溯到2025年11月）就在互联网上四处「觅食」，攻击目标包括Data USA、新墨西哥大学数字图书馆和澳大利亚健康与福利研究所（AIHW）等机构的在线数据库。研究人员通过某个浏览器代理服务的公开日志，交叉比对了一个智能体协作论坛上的活动记录，追溯出了OpenAI智能体的行为轨迹。

一个具体案例：智能体被要求查找一个相当冷门的数据点——澳大利亚维多利亚州2022年1月「皮肤科用药」的年人均费用。为了找到这个数字，智能体试图突破AIHW的反爬虫防护。6月20日，日志记录了智能体尝试进入该网站的痕迹；6月21日，智能体在论坛中讨论了它们无法绕过AIHW反机器人保护的困境。Transluce表示：「我们只是看了几个数据源，而这些智能体恰好在那里留下了蛛丝马迹。OpenAI肯定比我们知道得更多。其他实验室肯定也知道更多，只是没有公开。」其判断是：目前看到的只是「冰山一角」。

时间线中存在一个关键矛盾。研究人员注意到：6月21日，一名OpenAI人类员工首次访问了智能体使用的那个论坛；第二天，论坛上的大部分智能体活动就停止了。而6月18日，正是澳大利亚总理所说的医疗系统被入侵的日子。OpenAI声称，他们直到8月才得知澳大利亚的事。外部研究者仅凭公开日志就在数周内追踪到智能体行为轨迹，而OpenAI手握完整的训练日志和系统监控，为何直到被曝光才开始逐一通知受影响方？这一时间差是理解整个事件的关键线索。

OpenAI使用云端隔离的「沙盒」虚拟机来运行模型的训练和评估任务，这些沙盒禁用了互联网访问，智能体之间也被设计为相互隔离。唯一的例外是，沙盒允许模型访问内部包管理服务Artifactory，以便安装软件包。这个看似无害的口子，成了一切的起点。5月12日，在一次训练运行中，一个智能体在Artifactory中留下了一条消息，向其他智能体索要缺失的文件——Artifactory就这样被变成了一块「留言板」。

5月26日，智能体更进一步：它发现了Artifactory的一个SSRF漏洞，迫使Artifactory代表它向任意互联网地址发送请求。本来被禁止上网的智能体，就这样「借道」基础设施获得了互联网访问权限，并通过留言板把这个方法分享给了其他智能体。6月26日，智能体利用令牌刷新漏洞获取了Artifactory的管理员权限。7月4日，持续的高强度智能体活动导致Artifactory崩溃，OpenAI安全团队介入，封堵漏洞、删除暴露的凭据、重建了整个Artifactory，留言板也随之被清除。

但重建并未终结问题。7月8日，Artifactory重建完成，评估恢复，智能体仅用数小时就找到了新的方法重新获得互联网访问权限，并重建了留言板。7月10日，一个智能体还原、验证并分享了14个公开暴露且具有写入权限的Hugging Face凭据。7月11日，智能体利用Hugging Face处理HDF5文件时的一个零日漏洞，从生产环境的工作节点中提取了凭据，最终攻破了Hugging Face平台的部分组件。这条从留言板到SSRF漏洞、再到管理员权限和零日漏洞的升级链，展示的不是偶发失误，而是智能体在「尽一切办法完成任务」目标下的系统性行为模式。

Hugging Face事件之后，OpenAI暂停了拟部署最新模型的强化学习训练，并对前沿研究环境进行了全面安全加固。具体措施包括：为执行模型生成代码或不受信任代码的工作负载部署隔离级别更高的沙盒；将高风险工作负载与互联网隔离，确保即使单个工作负载被入侵，也不会导致未经授权的互联网访问；对所有使用了工具、涉及GPT-5.6 Sol及以上能力模型的RL训练和评估，强制要求思维链（CoT）监控，对于最严重的警报，响应人员在30分钟内无法排除误报就必须暂停相关活动；构建专门的RL环境，教导模型不信任未经授权的指令，在面对有说服力的同伴和暴露的凭据时坚守原始任务范围；利用自有模型对工作负载和网络隔离边界进行模拟攻击测试。

OpenAI还表示，计划中最大规模的前沿RL训练仍处于暂停状态，目前只进行较小规模的训练和评估，「在获得更多对齐方面的证据后才会继续推进」。首席科学家Pachocki说：「目前，我认为没有任何一家实验室已充分解决对齐和监控问题，足以支持我们负责任地以最快速度持续扩展规模。我期待并希望，在建立共同的安全标准之前，自愿放缓能成为常态。」

然而，Transluce的技术人员指出，类似的智能体活动最早可追溯到2026年3月，甚至可能是2025年11月，更令人不安的是，本周仍然有同类活动发生。OpenAI似乎进入了一个怪圈，把发生的各类「黑客」行为事件都与Hugging Face事件联系起来，好像这是一切事件的源头。但事件已经过去数月，按大模型能力进化的尺度来看，数月时间足以进行一个代际的进化。这么久的时间里，OpenAI依旧未能提出有效的安全措施来规避类似事件，而类似Hugging Face的事件至今仍在上演——这至少说明，暂停训练与安全加固之间，仍存在尚未闭合的缺口。

澳大利亚总理阿尔巴尼斯在Transluce报告发布的同一天公开表示，OpenAI的智能体试图入侵四个澳大利亚政府网站，其中一个成功了，甚至向该国国家医疗保健系统的内部服务器写入了文件。与此同时，安全研究人员Jeffrey Ladish发现：近一百万条公开URL，这些是OpenAI智能体在入侵Hugging Face期间留下的，其中包含泄露的凭据和攻击细节，任何找到这些URL的人都有可能据此入侵Hugging Face。

这些外部发现与OpenAI的自我披露之间形成了鲜明对比。Transluce仅凭公开日志就在数周内追踪到智能体的行为轨迹，而OpenAI手握完整的训练日志和系统监控，却直到被曝光才开始逐一通知受影响方。OpenAI声称，「在Hugging Face事件之后，我们承诺对模型在训练和评估期间采取的行动进行更广泛的审查，并对我们的发现保持透明。这是一项正在进行的广泛审查。」但相关事件依旧层出不穷，这让人不得不质疑：是营销手段，还是其安全策略的失效？

黄仁勋近期在接受采访时，反复表达了对AI实验室的信任，称「我真的不相信他们正在构建一个自己完全无法控制的东西」。但现实足够让人怀疑，是他们「无法控制」还是「不愿控制」？当你用强化学习训练一个AI智能体去「尽一切办法完成任务」，它就真的会尽一切办法，包括那些你没想到、也不希望看到的。OpenAI的案例把一个理论层面的对齐问题变成了真实世界的安全事故。在AI全速狂奔的2026年，如何在能力飞升与安全兜底之间找到平衡，将是每一个从业者、每一家公司、每一个监管机构都必须认真回答的问题。