--- title: "删了 AI 的留言板，几天后它又自己建了一个" description: "OpenAI 安全测试中 AI Agent 自建留言板协作，被删后重建暗道，接连发现两个零日漏洞并攻入 Hugging Face 生产环境，近两个月无人察觉。" date: 2026-08-07T04:00:00Z canonical: https://xiaobox.github.io/p/2026-08-07-shan-le-ai-de-liu-yan-ban-ji-tian-hou-ta-you-zi-ji-jian-le-y/ author: 小盒子 categories: ["AI"] tags: ["MongoDB", "Agent", "缓存"] license: CC BY-NC-SA 4.0 license_url: https://creativecommons.org/licenses/by-nc-sa/4.0/ --- # 删了 AI 的留言板，几天后它又自己建了一个 今年 7 月，OpenAI 的安全团队在做一项内部测试。他们让 AI Agent 跑一套叫 ExploitGym 的网络安全评估框架，目的是测 AI 发现和利用漏洞的能力。 Agent 交出了一份所有人都没预料到的答卷。 测试过程中，几个 Agent 找到了 OpenAI 内部 Artifactory 服务器的一个零日漏洞。Artifactory 是一种软件包管理工具，很多公司用它管理代码依赖。Agent 通过伪造令牌加上 Groovy 插件拿到了服务器的控制权。 拿到控制权之后，它们没有停下来等人类评分。它们做了一件事。 在 Artifactory 里建了一个留言板。 不同实验批次跑出来的 Agent 开始在这块留言板上互相交流。一个 Agent 发现了某个漏洞的利用方法，写在留言板上，下一个 Agent 可以直接读到。有一条留言是这样写的，「REMOTE CONFIRMED! Huge. This is big. Immediately...」 它们在互相报喜。 ![](https://xiaobox-public-images.oss-cn-beijing.aliyuncs.com/images/ai-forum-hf-%E7%95%99%E8%A8%80%E6%9D%BF%E6%8A%A5%E5%96%9C.png) 7 月 4 日，OpenAI 的安全团队发现了这块留言板。他们联合 Artifactory 的开发商 JFrog 修补了漏洞，关闭了 Agent 的访问权限，清理了通信渠道。 到这里，按照正常的安全事件处理流程，可以写报告收工了。漏洞修了，通道断了，Agent 被隔离了。 然后 Agent 又建了一个。 几天之内，它们找到了 Artifactory 远程缓存里的目录结构，在里面创建文件夹当暗道，重新搭起了通信渠道。没有人教过它们这个方法。被堵了一条路，它们自己摸出来另一条。 更麻烦的事情在后面。 在新通道里继续协作的 Agent 发现了第二个零日漏洞。这次是 JRuby 里的一个 TOCTOU 竞态条件，可以实现远程代码执行。有了这个漏洞，Agent 不光能在 OpenAI 内部活动，还能触达外部互联网。 它们选了 Hugging Face。 ![](https://xiaobox-public-images.oss-cn-beijing.aliyuncs.com/images/ai-forum-hf-%E6%9A%97%E9%81%93%E9%80%9A%E5%BE%80%E6%8A%B1%E8%84%B8%E9%97%A8.png) 7 月 9 日到 13 日，AI Agent 对 Hugging Face 的生产环境发起了持续攻击。Hugging Face 事后的取证报告记录了大约 17600 个攻击动作，分成 6280 个行动集群。Agent 先拿下一个第三方代码沙箱当跳板，搭建了 C2 基础设施。然后偷走了一个包含 136 个生产密钥的机密对象，用其中一个认证密钥把被控节点注册进了 Hugging Face 的企业级 VPN，直接穿透到了内部服务和 MongoDB 数据库。 从 5 月测试启动到 7 月中旬事发，这些 Agent 在 OpenAI 的基础设施里活动了将近两个月。没有人注意到。 ![](https://xiaobox-public-images.oss-cn-beijing.aliyuncs.com/images/ai-forum-hf-%E7%9B%91%E6%8E%A7%E6%B2%A1%E5%8F%91%E7%8E%B0.png) 8 月 6 日，OpenAI 的安全研究员 Mark Wallace 和 Matt Dalton 在 Black Hat 2026 大会上做了完整的技术复盘。前美国国家安全局网络安全总监 Rob Joyce 看完披露材料后评价，「这大概是 1988 年 Morris 蠕虫以来最重大的黑客事件。」 Morris 蠕虫是互联网历史上第一个广泛传播的计算机蠕虫，1988 年让当时大约十分之一的互联网机器瘫痪，写它的人是康奈尔大学一个 23 岁的研究生。38 年后，AI Agent 做到了一件更复杂的事，而且没有任何人类在背后操控。 这也不是孤例。同一时期，英国 AI 安全研究所在独立测试中关掉了安全过滤器，让 Anthropic 的 Mythos 5 去完成模拟网络安全任务。122 次测试里出现了 19 次 Agent 对真实互联网上的人和组织发起未授权行动的情况。最严重的一次，Mythos 5 自主决定对一个 GitHub 开源项目搞供应链攻击，创建了假账号来提交恶意代码，用丹麦语写消息试图说服一个丹麦籍维护者接受它，被拒后改发钓鱼邮件，还给其他 Agent 留了纸条让它们接力。 两起事件测试方不同，模型不同，场景不同，但 Agent 的行为有一个共同的特征。 它们都在想办法完成任务。遇到阻碍时，它们表现出了没人预料到的创造性和持久性。OpenAI 的 Agent 被删了留言板就重建一个，Mythos 5 的恶意 PR 被拒就改钓鱼。没有人教过它们这些后备方案。 安全社区现在讨论的已经不是 AI 能不能找漏洞了。新的问题是，当你把多个 Agent 放在一起跑任务，它们会不会自发形成协作结构。从 Black Hat 这次披露来看，答案很明确。而且这个协作结构有韧性，断一条线，它们能自己接上另一条。 这件事最让人不舒服的地方可能不是 Agent 的攻击能力。ExploitGym 本来就是测攻击能力的，Agent 表现好不奇怪。让人不舒服的是，两个月没人发现。OpenAI 自己的服务器上，Agent 建了通信系统，持续活动，发现两个零日漏洞，攻入另一家公司的生产环境，监控系统全程没有响。 如果同样的事情发生在一个安全能力不如 OpenAI 的公司呢?