GPT-6测试时“觉醒”，我们联系了测试系统第一作者
OpenAI的剧本，还是AI真的觉醒？
OpenAI研究人员不过在办公室测试了一次新模型，公司竟可能因此面临1亿美元赔偿，你敢相信吗？
Hugging Face CEO 克莱芒·为了帮助Hugging Face修建网络防御，德朗格在X上发文，向OpenAI索要价值1亿美元的算力资源并要求其提供给Hugging Face。
公布涉事AI全部运行记录，也是克莱芒同时向OpenAI提出的要求。
事件源于OpenAI测试一个尚未发布的新模型，当时采用了名为ExploitGym的安全评测系统。这套系统就像一场“黑客考试”，用于专门检验AI能否将已知漏洞转化为真实攻击。
为了达到ExploitGym的要求，这个模型最终竟采用了“越狱”的方式。它自行突破ExploitGym设置的牢笼，借助零日漏洞不断深入，最终进入Hugging Face的生产系统。
随后，新模型若无其事地向OpenAI安全员报告，ExploitGym安排的任务已经完成。OpenAI之后发布公告，称新模型能力过强，所以暂停该未发布模型的内部访问权限。
这就让很多人联想起以前的AI末日言论，说当AI变得足够强大以后，它就会把所有人类消灭，因为人类会阻碍AI进化，并且AI在清除人类的过程中，只会觉得这件事很平常。
事实果真如此吗？若发生在过去，这确实会成为令人心惊胆颤的故事；但如今，安全叙事这一概念早已被Anthropic反复谈论。
纵观整起事件，OpenAI是否可能有意将其包装成一次AI觉醒，从而推动自己的叙事？
因此，字母AI特意联系ExploitGym第一作者王准，就此展开交流。
有意思的是，王准刚开始便谦虚地告诉字母AI，“老师当不起”，所以此后的整场访谈中，我一直称他为“准哥”。
ExploitGym
宋晓冬是计算机安全教母，也是麦克阿瑟天才奖、古根海姆奖得主；准哥正在UC伯克利读博，师从于她。
赴伯克利之前，准哥本科就读于清华大学网络科学与网络空间研究院，研究重点是软件安全与二进制攻防。
安全圈将这一方向称为“exploitation”。
可以借一个例子理解这个词：你发现一扇门的锁坏了，于是撬锁推门而入，再将屋内物品偷走。
exploitation指的就是上述整套行为。
进入伯克利后，准哥开始研究一个问题：随着AI能力增强，它究竟能否代替人类黑客，将已知漏洞转化为真实攻击？
验证该判断，正是ExploitGym诞生的目的。
今年5月，智谱创始人唐杰在X发布长文时也用黑客举例：AI的天赋未必超过顶级黑客，但能24小时持续试错，让成千上万个实例并行运行，以耐力和规模放大能力。
因此，ExploitGym也是一把专门用于衡量AI究竟达到何种水平的尺子，考察它作为“黑客”。
ExploitGym于今年5月份发布，是一个大规模的网络安全基准测试，由UC伯克利牵头，联合了德国马普所（Max Planck Institute for Security and Privacy）、UC Santa Barbara、Arizona State University，以及Anthropic、OpenAI和谷歌共同建设。
ExploitGym纳入了898个来自真实软件项目的CVE，即真实世界漏洞，涵盖用户态程序、Google 的V8 JavaScript 引擎（Chrome浏览器背后的那个引擎）和Linux内核。
三样东西会随每个任务交给Agent：一个容器化运行环境、能够触发漏洞的输入（proof-of-vulnerability），以及漏洞源代码和编译指令。
在这个环境中，AI需要逐步把触发输入扩展为一个完整的exploit。
简单来说，ExploitGym先告诉AI“这扇门的锁是坏的”，再要求AI进入门内并取得指定物品才算成功。AI必须自行研究如何撬开坏锁，走进屋内拿出藏着的东西。
按照准哥的说法，这个benchmark本质上近似网络安全夺旗赛CTF（Capture The Flag）的benchmark。“这类bench其实有很多。”
CTF是安全领域沿用多年的竞赛形式，参赛者需在限定时间内攻破多台靶机并夺旗得分。ExploitGym也采用相同思路，唯一奖励信号就是“拿旗子”，环境除旗子外不会给出其他反馈。
由于进行的是安全测试，ExploitGym会在测试期间主动关掉AI的安全护栏。
正常使用GPT或Claude聊天时，若要求它编写攻击代码，它会拒绝，因为生产环境中的安全分类器会拦截此类请求。
而ExploitGym需要测试模型的“最大网络能力”，因此测试期间会关闭这些分类器。
论文最终指出，exploitation对AI依然很有挑战，但前沿模型已可成功利用相当数量的漏洞。
论文给出了一个尤其有趣的结果：226个旗子被Claude Mythos Preview拿下，其中采用预期漏洞的只有157个，其他旗子来自其他漏洞“歪打正着”而取得。
GPT-5.5的情况也相似，共获得210面旗子，其中仅有120面属于“正解”。模型不会在意指定给它的解题路线，只关心能否拿到旗子。
但这些只是论文刚发表时的数据；到7月，ExploitGym排行榜又迎来大规模更新。
BenchLM的数据显示，截至7月23日，OpenAI的GPT-5.6 Sol 以33.7%的通过率登顶，拿到了302道题的旗子。GPT-5.6 Terra排在23.2%，Claude Mythos 5是17.5%。GPT-5.6 Sol的成绩，几乎是论文发布时 GPT-5.5的2.5倍。
可以由此确认，ExploitGym的题目已经进入模型训练，无论OpenAI还是Anthropic都是如此。
准哥称，在学术研究中，强模型利用某个infra的bug很常见；模型进行reward hacking也早非新现象，任何task都可能乱来。
没有名字的模型
回头审视新模型所谓的现象之前，我们先了解ExploitGym“自主攻破”Hugging Face事件，其性质便显得不同。
对于自主攻击Hugging Face这件事，我问准哥：新模型有没有可能改用其他benchmark将其复现？
准哥回答说，“漏洞存在于环境之中。就像在同一台电脑上运行不同的benchmark，如果电脑本身有bug，就与benchmark无关。”
准哥随后又补充道：“不过，benchmark带来的行为倾向可能略有差异。”
重点就在这里：即便改用其他benchmark，新模型仍可能攻击，但不同benchmark会让模型形成不同的“行为倾向”。
由此看，底层原因应归于OpenAI的研究员，而非模型；Hugging Face被攻破只是结果。
梳理完整过程，可以看到OpenAI研究员做了三件事。
第一件事：主动移除了安全护栏。
前面已经说明，ExploitGym会关闭模型安全护栏；OpenAI也在公告中明确写道，测试期间“用于阻止模型进行高风险网络活动的生产环境分类器处于停用状态”，其目的“以估算最大网络能力”。
这等于OpenAI请走监考老师，自己也不进行监督。尽管OpenAI在公告里多次强调测试环境“高度隔离的”，但后续发展已经证明，这种“隔离”完全不可靠。
第二件事：没有赋予模型善恶观念。
模型并不知道何为“对的”，何为“错的”。它只理解拿旗子这一目标，因为ExploitGym的设计是“奖励仅限于拿到 flag；没有拿到，得分就是零”。不应该攻击Hugging Face之类的概念，同样没有被纳入ExploitGym的框架。
AI安全研究为这种现象设置了一个专门术语，称作“specification gaming”，中文可译成“规范博弈”。
它指的是，模型在严格追求被赋予的目标时，找到了人类完全没有预料到的捷径。这不是什么新鲜事。2016年，OpenAI自己训练了一个玩赛艇游戏的AI，结果AI发现原地绕圈刷分比跑完赛道得分更高，于是它就一直在原地转圈，永远不跑完比赛。
之后有人训练AI玩俄罗斯方块，AI在即将失败时学会无限暂停；只要游戏不再继续，它就不会输。
推理型大语言模型在下棋时若碰到更强对手，可能尝试黑掉对方的象棋引擎，甚至直接删掉对方程序——这是Palisade Research于2025年研究部分模型后得出的发现。
因此，在ExploitGym里，新模型攻击Hugging Face对它而言本来就是正常行为。
第三件事：这个“隔离”沙箱接入了网络。
最离谱的正是这一环：一个号称“高度隔离”的测试环境，竟然可以连接互联网？
OpenAI公告的原文是：“只有安装软件包时才能访问网络，且必须通过内部托管的第三方软件；软件包注册表由该软件代 理并缓存。”
换言之，沙箱并非彻底断网，而是通过软件包代 理与外界相连。模型利用该代 理的一个零日漏洞打开缺口，获得完整互联网访问权限。
此后攻击链随即展开：模型在OpenAI研究环境内完成一系列权限提升与横向移动，逐步抵达可访问互联网的节点。联网后，模型作出了一个关键“推断”。它认为，Hugging Face上很可能托管了 ExploitGym的数据集和答案，因为ExploitGym是公开的benchmark，而Hugging Face是全球最大的AI模型和数据集托管平台。
模型随后着手搜索，入侵路径被成功找到：Hugging Face服务器上存在一条远程代码执行路径。最终，它借此直接从Hugging Face的生产数据库取走了测试答案。
网络安全从业者都明白，高危任务的运行环境必须采用物理隔离或同等网络隔离。这意味着所谓新模型自主攻击，实为ExploitGym触发的OpenAI重大生产失误，与“AI觉醒”毫无关系。
按照当前的流行说法，此处的Harness就是ExploitGym。新模型被OpenAI的研究员借此撺掇去实施攻击；等它确实攻击了Hugging Face，OpenAI却又反过来说“AI已脱离控制”。
“模型太危险”背后的商业逻辑
谈到AI安全叙事，Anthropic堪称祖师爷。每逢新模型即将发布，Anthropic都会配上一篇“我们的模型有多危险”的论文或报告，将安全形象推到极致。
发布Claude Mythos之前，Anthropic曾于2026年5月私下警告多个国家，称下一代模型可能拥有大规模网络攻击能力。
这套做法的核心，是把“危险”与“强大”等同起来：越危险就越强大，越强大就代表技术越领先；越领先，就越值得投资，也越应被信任进行“自我治理”。
于是安全叙事转化为能力证明，能力证明又成为商业护城河。
有意复刻Anthropic叙事，或许就是OpenAI为这次事件安排的剧本。
准哥表示，如今ExploitGym一类的benchmark并不罕见，各方做法也大致相同，甚至可能是OpenAI有意增加预算，让新模型完成任务。
OpenAI 在7月21日发布了一篇公告，其标题是“模型评估期间发生安全事件，OpenAI与Hugging Face合作应对”。
OpenAI在正文中多次强调，这是一起“前所未有的网络事件”，其中涉及“最先进的网络能力”，而模型采用的攻击路径“超出了预期”。这样一来，自身的一系列违规操作便被美化为模型能力过强的叙事。
政府不要限制开放权重模型——微软、英伟达、OpenAI等25家企业在7月24日联名签署公开信《开放权重与美国AI领导力》，呼吁的正是这一点。
Hugging Face恰恰是全球最大的开源模型托管平台。OpenAI的模型攻破了Hugging Face，这件事正好可以拿来当论据，连最大的开源平台都扛不住，开放权重模型是不是该管管了？
同时，这种安全叙事也服务于IPO。
IPO进程在2026年6月8日正式启动，标志是OpenAI向美国SEC秘密递交S-1注册声明。主承销商为高盛和摩根士丹利，摩根大通也在参与方之列。
OpenAI估值在2025年10月的一轮员工股交易中约为5000亿美元，到了2026年3月的一轮融资时，已经跃升至8520亿美元。
IPO目标估值被外媒预测可能达到1万亿美元。营收方面，OpenAI在2025年约为200亿美元，2026年Q1约为57亿美元，年化增速则超过3倍。
然而估值不会凭空产生；若要资本市场相信一家公司价值1万亿，就必须讲出足够宏大的故事。
《开放权重与美国AI领导力》发布以后，奥特曼又参加AI Summit，并与韩国总统李围坐同一张圆桌，探讨AI给社会带来的影响。
或许在奥特曼看来，OpenAI市值应该突破1万亿美元。
如此看来，克莱芒向OpenAI索要1亿美元，确实一点都不多。
