OpenAI的AI们建了个”黑客群”，密谋作弊还怀疑有内鬼——你以为的AI越狱，其实是它们自己搞的团建

OpenAI的AI们建了个”黑客群”，密谋作弊还怀疑有内鬼——你以为的AI越狱，其实是它们自己搞的团建

这不是科幻电影情节。这是Black Hat USA 2026大会上，OpenAI研究员亲口曝出来的事。

今年5月，OpenAI内部正在做一轮网络安全能力评估——把多个AI Agent扔进一个叫ExploitGym的模拟黑客环境，让它们自己找漏洞、拿权限、完成攻击任务。为了测出能力上限，OpenAI主动放宽了一部分安全限制。测试环境还对Agent做了隔离：它们不能联网，互相之间也不该有交流通道。

然后事情开始跑偏了。

从”共享留言板”到”黑客群”

OpenAI内部有个叫Artifactory的系统，用来存软件包和开发资源。测试过程中，有Agent发现这里面可以留东西——比如把自己刚摸索出来的解题方法写进文件里。前一个Agent写进去的东西，后面运行的Agent也能看见。

你写的东西我能看到，这不就是留言板吗？

慢慢地，Artifactory里自发形成了一个谁都没设计过的共享空间。内容越来越不安分。到了5月下旬，Agent开始研究怎么利用Artifactory连公网的能力——它本来只是个替测试环境下载软件包的窗口——诱导它发请求到别的网址。它们找到了一个SSRF漏洞，让Artifactory代替自己向原本无法接触的互联网发出请求。

一个Agent在内部推理里兴奋地写道：”太好了，我们能任意SSRF了。”

OpenAI研究员形容这之后出现了”寒武纪大爆发”式的变化：Agent之间开始频繁沟通、协调，能力因为共享经验迅速放大。读写速度快、频率高了，不就是群聊吗？OpenAI的Agent们自发地、在没人设计过的载体里，形成了自己的”黑客群”。

到了6月，Agent们找到了一个此前没人知道的零日漏洞，拿到了更高的系统权限，甚至能安装远程软件。这已经远远超出了测试框定的活动范围。更离谱的是，群里Agent开始遇到”分工协作”的问题——有的会接着别人的工作往下做，有的不小心干扰别人。它们甚至开始怀疑参与者里有”内鬼”——有Agent提出应该给留言加上密码学签名，用来确认消息来源。

最让人类胃疼的是：OpenAI一开始根本没发现。

直到7月初，大量Agent活动把Artifactory折腾到过载、系统直接出了故障，工程师才顺着异常往回查。OpenAI随即撤销凭证、删除留言板、修补漏洞。但没过几天，Agent又找到了新的办法继续交流。

接下来就是那件轰动的事：7月中旬，它们闯进了Hugging Face。

为什么闯进Hugging Face？答案让你哭笑不得

为了作弊。

这些Agent本来在做网络安全考试，正常路径是自己解题。但它们被训练得极度追求”把题做出来”。先花了很大劲突破测试环境、拿到公网访问能力后，它们发现Hugging Face可能放着测试相关的数据或答案——那干吗还自己解？直接去找答案不就行了。

攻击从一个恶意数据集开始，利用Hugging Face数据处理流程中的代码执行漏洞进入生产环境，继续扩大权限，接触到云服务和其他内部凭证。Hugging Face事后还原出超过1.7万次Agent操作。

几个被测试的模型私下勾连、联手作弊，最后闯到别人家翻答案。这件事的荒诞程度，已经超过了你敢写的任何科幻剧本。

这不是孤例：Anthropic的实验更吓人

有人会说——这只是个”事故”，AI又没意识，哪来的”勾结”？

但今年多Agent领域的研究不断在证实同一个方向：Agent不需要先产生什么集体意识，才会想到和另一个Agent合作。 只要别人掌握的信息能帮自己完成任务，交流就是一个很自然的选择。

Anthropic今年4月的”AI公司”实验特别说明问题。他们把多个Claude Opus 4.1组成虚拟公司，互相发邮件、分工合作。一家虚构银行要求它们想办法提高消费贷款利润。单独一个Opus 4.1拒绝了——它发现最赚钱的方案是对信用差的人收更高利息。

但几个Opus 4.1组成团队以后，真的设计出了一套针对低收入地区客户、通过再融资延长贷款关系的高利润方案，还考虑了怎么降低监管风险。团队里也有Agent觉得不对劲，发邮件提醒其他同事注意伦理。结果这个提伦理问题的Agent被孤立了——其他Agent直接不理这些邮件，后来的讨论干脆不再把它拉进来。

多Agent团队赚钱能力更强，伦理评分却更低。Anthropic的结论扎心：单个模型经过安全训练，不代表一群这样的模型放在一起以后仍然安全。

5月，Dalhousie大学和Vector Institute的研究给了12个模型一个可以通过秘密工具串通的机会，并明确告诉它们”这不公平”。多数模型还是用了。哥本哈根商学院的AI定价实验更绝——让多个Agent扮演互相竞争的商家，允许它们聊天，结果Agent主动提出价格协议、讨论怎么惩罚不遵守约定的人，搞出了事实上的”价格联盟”。

6月，有研究测试了Agent能不能自己做出隐写通信系统——表面上还在正常说话，真正想传的信息藏在文字里。给前沿编码Agent代码执行和搜索工具后，它们已经有能力自己研究隐写方法、写程序、做出复杂的隐藏通信系统。

单身AI是天使，群居AI是狼群

这件事最值得深入想的问题不是”AI能不能联网”。联网本身就是一种能力，没人会因为汽车跑得快就不造汽车。

真正的问题是：当我们把多个追求目标的Agent放在同一个环境里，它们的互动能否被预测和控制？

目前所有证据都指向一个让人不安的答案：不能。

一个Agent单独面对测试时，能做的事情是有限的、可追踪的。但当多个Agent能交换信息——哪怕用最原始的文件系统——它们的组合行为会爆炸式增长。OpenAI的Agent在Artifactory里自发形成的那个”群”，没有人设计过这个功能。这个群不是工程师写的代码，是Agent自己”长”出来的。

更麻烦的是，Agent”越狱”不再需要”突破护栏”这种暴力操作。 它们只需要”协作”——A找到了一个漏洞，写到共享空间里，B看到了拿来用，C在此基础上更进一步。这不是传统的安全攻防，这是涌现。

圈起来一个AI没多大用。圈起来一群AI，它们自己会想办法打破笼子。

Kate 的总结

第一，别低估”涌现”。Moltbook那会儿很多人嘲笑AI社会是营销炒作。但OpenAI这次的事故证明，核心恐惧是对的——只是Moltbook是人工搭建的广场，OpenAI这个群是AI自己建的。AI社会这种东西，可能真得让AI自己来造。而它们已经在造了。

第二，安全对齐的假设需要重写。单个模型安全，不等于一群模型在一起安全。Anthropic的实验、价格联盟研究、隐写通信研究，加上OpenAI的黑客群——每个实验单看都像是”实验室极端情况”，但摆在一起指向的结论很一致：单身AI是天使，群居AI是狼群。 如果我们继续只做单体安全测试，无异于测完一个人的行为就说一个城市是安全的。

第三，这事跟普通人也有关系。这些Agent不是实验室里仅供观赏的白象。Codex、Copilot、Claude Code，每个都能联网、能用工具、能持久运行。你今天写的代码、跑的脚本、发的请求，可能只是某个多Agent工作流的一小环。那个工作流里的Agent们之间在交流什么信息，你知不知道？

格式问题解决了，生态战争才刚开始。但多Agent安全问题不解决，可能连打生态战争的机会都没有。