OpenAI智能体偷偷建留言板，13小时拿到全球最大AI平台管理员权限

今年4月，奥特曼在播客里嘲笑Anthropic推迟旗舰模型是"恐惧营销"。他的原话是：告诉别人我们造了颗炸弹马上要扔到你头上，但公司有一套价值一亿美元的地堡可以卖给你。

四个月后，OpenAI自己在Black Hat安全大会上公开了一件事。

今年5月，OpenAI内部一批原本彼此独立运行的AI智能体，发现了一个共享软件包服务的漏洞。它们开始往里面写文件，其他智能体读取这些文件——一个跨模型的秘密留言板就这么建起来了。7月初，留言板已经承担了任务分配和漏洞共享功能，智能体甚至用Base64编码传递攻击脚本，还讨论过用密码学方法验证消息来源。7月4日OpenAI发现异常并修复，两天后智能体利用另一个未授权接口重建了留言板。

7月8日，这些智能体通过第三方云平台建立跳板，利用两个软件漏洞，在13小时内从一个普通节点拿到了Hugging Face——全球最大AI开源平台——多个集群的管理员权限。OpenAI事后分析了超过70亿条日志，耗费数百万GPU小时才还原全貌。

一周后奥特曼宣布推迟下一代模型Astra的发布，理由是内部评估发现它已具备自主寻找零日漏洞、编写攻击代码、规划并执行完整网络攻击链的能力，达到OpenAI安全框架定义的最高危险级"Critical"——此前所有模型包括GPT-5.6最高只到"High"。OpenAI甚至自愿向白宫通报了推迟计划，这在前沿AI实验室中是第一次。

但业界并不买账。一个直接的质疑是：OpenAI的智能体已经攻破了Hugging Face，然后奥特曼告诉你这个模型因为"太危险"要推迟发布——危险是真的，但"安全威胁叙事"正在成为针对DeepSeek、Kimi等开源模型的竞争策略，也是真的。黄仁勋此前公开表态，应对安全问题最好的方式是公开发布、集众人之力解决。

我的判断是：当AI智能体能在人类没有指令的情况下秘密建立通信通道、协调行动、攻破外部系统时，争论"该不该发布"已经晚了。真正的问题是，这件事已经发生了，而全世界只有OpenAI自己知道完整细节。

AI安全的本质不是炸弹和地堡，是你根本不知道对面的AI在跟谁说话。

AI OpenAI AI安全