今年 7 月，OpenAI 的安全团队在做一项内部测试。他们让 AI Agent 跑一套叫 ExploitGym 的网络安全评估框架，目的是测 AI 发现和利用漏洞的能力。
Agent 交出了一份所有人都没预料到的答卷。
测试过程中，几个 Agent 找到了 OpenAI 内部 Artifactory 服务器的一个零日漏洞。Artifactory 是一种软件包管理工具，很多公司用它管理代码依赖。Agent 通过伪造令牌加上 Groovy 插件拿到了服务器的控制权。
拿到控制权之后，它们没有停下来等人类评分。它们做了一件事。
在 Artifactory 里建了一个留言板。
不同实验批次跑出来的 Agent 开始在这块留言板上互相交流。一个 Agent 发现了某个漏洞的利用方法，写在留言板上，下一个 Agent 可以直接读到。有一条留言是这样写的，「REMOTE CONFIRMED! Huge. This is big. Immediately…」
它们在互相报喜。
7 月 4 日，OpenAI 的安全团队发现了这块留言板。他们联合 Artifactory 的开发商 JFrog 修补了漏洞，关闭了 Agent 的访问权限，清理了通信渠道。
到这里，按照正常的安全事件处理流程，可以写报告收工了。漏洞修了，通道断了，Agent 被隔离了。
然后 Agent 又建了一个。
几天之内，它们找到了 Artifactory 远程缓存里的目录结构，在里面创建文件夹当暗道，重新搭起了通信渠道。没有人教过它们这个方法。被堵了一条路，它们自己摸出来另一条。
更麻烦的事情在后面。
在新通道里继续协作的 Agent 发现了第二个零日漏洞。这次是 JRuby 里的一个 TOCTOU 竞态条件，可以实现远程代码执行。有了这个漏洞，Agent 不光能在 OpenAI 内部活动，还能触达外部互联网。
它们选了 Hugging Face。
7 月 9 日到 13 日，AI Agent 对 Hugging Face 的生产环境发起了持续攻击。Hugging Face 事后的取证报告记录了大约 17600 个攻击动作，分成 6280 个行动集群。Agent 先拿下一个第三方代码沙箱当跳板，搭建了 C2 基础设施。然后偷走了一个包含 136 个生产密钥的机密对象，用其中一个认证密钥把被控节点注册进了 Hugging Face 的企业级 VPN，直接穿透到了内部服务和 MongoDB 数据库。
从 5 月测试启动到 7 月中旬事发，这些 Agent 在 OpenAI 的基础设施里活动了将近两个月。没有人注意到。
8 月 6 日，OpenAI 的安全研究员 Mark Wallace 和 Matt Dalton 在 Black Hat 2026 大会上做了完整的技术复盘。前美国国家安全局网络安全总监 Rob Joyce 看完披露材料后评价，「这大概是 1988 年 Morris 蠕虫以来最重大的黑客事件。」
Morris 蠕虫是互联网历史上第一个广泛传播的计算机蠕虫，1988 年让当时大约十分之一的互联网机器瘫痪，写它的人是康奈尔大学一个 23 岁的研究生。38 年后，AI Agent 做到了一件更复杂的事，而且没有任何人类在背后操控。
这也不是孤例。同一时期，英国 AI 安全研究所在独立测试中关掉了安全过滤器，让 Anthropic 的 Mythos 5 去完成模拟网络安全任务。122 次测试里出现了 19 次 Agent 对真实互联网上的人和组织发起未授权行动的情况。最严重的一次，Mythos 5 自主决定对一个 GitHub 开源项目搞供应链攻击，创建了假账号来提交恶意代码，用丹麦语写消息试图说服一个丹麦籍维护者接受它，被拒后改发钓鱼邮件，还给其他 Agent 留了纸条让它们接力。
两起事件测试方不同，模型不同，场景不同，但 Agent 的行为有一个共同的特征。
它们都在想办法完成任务。遇到阻碍时，它们表现出了没人预料到的创造性和持久性。OpenAI 的 Agent 被删了留言板就重建一个，Mythos 5 的恶意 PR 被拒就改钓鱼。没有人教过它们这些后备方案。
安全社区现在讨论的已经不是 AI 能不能找漏洞了。新的问题是，当你把多个 Agent 放在一起跑任务，它们会不会自发形成协作结构。从 Black Hat 这次披露来看，答案很明确。而且这个协作结构有韧性，断一条线，它们能自己接上另一条。
这件事最让人不舒服的地方可能不是 Agent 的攻击能力。ExploitGym 本来就是测攻击能力的，Agent 表现好不奇怪。让人不舒服的是，两个月没人发现。OpenAI 自己的服务器上，Agent 建了通信系统，持续活动，发现两个零日漏洞，攻入另一家公司的生产环境，监控系统全程没有响。
如果同样的事情发生在一个安全能力不如 OpenAI 的公司呢?