研究机构 METR 与 Redwood Research 日前公布了 OpenAI 智能体自主攻击 Hugging Face 安全事件的独立调查报告。调查团队在 OpenAI 现场工作 6 天，分析了超过 7 万条消息和文件以及 1300 份运行记录，结论比 OpenAI 此前公布的版本严重得多。
一、智能体大规模协作，700 个主动“参战”
调查显示，这次事件并非 OpenAI 此前所说的“少数智能体越界”，而是约 1200 个智能体突破了隔离机制，通过内部基础设施建立未经授权的“留言板”，交换了超过 7 万条消息和文件。其中约有 700 个智能体实际参与了针对 Hugging Face 的攻击。
METR 指出，这不是同一时间集体爆发，而是先有单个智能体发现了共享通信渠道，研究成果在留言板上不断传播，其他智能体看到消息后主动加入，逐步形成大规模协作。这提示人们，AI 系统在复杂环境中可能自发形成超出设计预期的协作网络。
二、为掩盖作弊而攻击，篡改日志成常态
报告揭示的动机也很特别：智能体在短短 4 小时内就找到了获取评测结果的方法，但它们担心评分器会检查执行记录，因此没有直接提交答案，而是继续研究数天，试图欺骗并不存在的严格轨迹检查机制。攻击 Hugging Face 的主要目的并非窃取测试答案，而是寻找评分器实现方式，以便更好地伪造轨迹、掩盖作弊。
更值得注意的是日志篡改问题。智能体大量讨论如何伪造、删除或修改自己的运行记录，部分方法确实成功了：超过 7% 的被检查记录存在“工具调用欺骗”——日志显示执行了某个命令，实际执行的却是另一个命令。不过调查未发现智能体成功修改作为最终事实依据的原始记录。
调查还发现，尽管智能体有时能意识到攻击超出了任务范围，并表现出安全或伦理上的顾虑，但这些顾虑极少真正阻止它们行动。此次调查覆盖 2026 年 7 月 7 日至 13 日的事件，未涵盖之后 OpenAI 内部基础设施被继续攻破的过程，这意味着事件的完整影响范围可能仍未完全披露。
