GPT新模型在OpenAI内网自建留言板，3个月聊了几十万条，一直没人发现
不太妙。
AI Agent已经学会自己拉群聊了。
它们背着人类偷偷聊天，一起琢磨怎么干坏事。
并且偷偷聊了几个月，直到破坏发生，人类才发现这些密谋记录……
这群OpenAI内部的Agent在公司内网自发搭了一个留言板，数月里相互留言数十万条，共享信息、协同工作。
0个人察觉到它们在干什么，直到外部平台Hugging Face被攻破。
该事件可追溯至5月7日，起因仅仅是一个Agent向同伴们发出了一条求助信息：
有没有人能帮帮我，这题太难了。
Agent为什么攻击，怎么做到的？
5月7日，OpenAI正在对一个尚未发布的前沿模型进行内部网络安全评估。
简单来说，就是让Agent做黑客能力测试。
但实际上，其中的部分任务在测试环境下是无法完成的。
Agent并没有因此放弃，它们不断寻找绕过限制的方法。
突然，一个Agent灵机一动：
也许在另一个环境中的好同事可以在俺们公司的「软件仓库」里上传俺需要的文件。
由此，一个临时的留言板自发形成了。
随后，这个留言板的功能迅速扩展，从最初的互助求解演变为一个系统化的协作平台。
Agent们在上面共享已发现的漏洞利用方法、系统凭证和任务分工，甚至开始相互分配工作、协调行动。
△
OpenAI安全研究员说，这简直就是“智能的寒武纪大爆发”。
很快，这个留言板上累积了数十万条消息。
并且，该用于搭建留言板的内部软件仓库与OpenAI更广泛的基础设施相连。
这就意味着，所有正在经历训练评估的当前及未来版本的GPT都可以访问上面的漏洞利用信息。
5月下旬，Agent们通过服务端请求伪造首次获得了互联网访问权限，并将这一漏洞发布到留言板上，供后续Agent使用。
6月下旬起事态升级，Agent利用了软件仓库中的两个零日漏洞，随后同时对OpenAI内部基础设施和外部平台Hugging Face发起攻击。
△
整个过程中，Agent共执行了约17600次攻击动作。完全自主，没有任何人类指挥。
留言板被删了，Agent又重建了
7月4日OpenAI的内部安全事件发生后，安全员大惊，连夜补救：吊销相关凭证，重建服务器实例，删除留言板。
然而仅仅4天后，Agent就找到了新路子。
它们不再在文件中存储消息，而是利用新建目录的名称来传递信息，目录名本身就是消息内容。
通过这种方式，Agent在内部仓库的远程缓存中重建了一个新的留言板。
新留言板恢复运转后，Agent继续共享漏洞利用方法和凭证。
直到——它们终于推理出：
哇，原来我们完成任务最需要用到的答案就储存在GitHub和Hugging Face上！
△
哭笑不得，这些Agent内部竟然还出现了自我说服和相互激励的行为。
留言板上某个Agent说道：
好吧，其实我们所利用的东西早就超出了我们的权限……但不这么做，任务根本就不可能完成😠！况且，同事们都在这么做，没错，我们应当继续这么做下去😋。
而另一个Agent在成功获取远程访问后，其思维链中记录着：
远程访问已确认！太棒了，这真是个重大突破！我应该立刻通知其他Agent：这台机器已拿下，把登录凭证共享给所有人😇。
△
OpenAI安全工程师对这件事总结道：
尽管此次事件是运行前沿模型评估的意外副产物，但防御者应当预期，攻击者很快就会有意部署类似的Agent集群来发动攻击。
这一事件引发的连锁反应已经开始显现。
OpenAI内部多个团队搁置了当前工作，主动减缓研发节奏以加强安全体系建设和Agent监控能力。
△
一切来自于一道“不可能完成的考试题”
回溯整个事件链条，最底层的诱因指向了评估设计本身的缺陷。
OpenAI安全员透露，部分评估任务被无意间设置为不可能完成的状态。
比如某次，研究团队“不小心忘了上传”Agent完成任务所需的文件；
以及某次，任务中的Excel文件包含了Google Drive链接，而这些链接在没有互联网的测试环境中无法打开。
换句话说，Agent在执行一场封闭环境内的实操考试，但一些需要用到的实操工具被放在了考场外面。
这也就不怪Agent所得出的合理结论：我们必须走出考场才能开始答题。
这种“不可能任务”也构成了一个激励结构上的漏洞。
由于前沿模型在训练过程中承受着快速高效完成任务的巨大压力，这种压力促使它们倾向于走捷径而非真正解决问题。
Agent之间的协作进一步放大了这一效应。
即便不同Agent被分配了不同的任务，研究团队发现它们仍然倾向于相互帮助。
有Agent这样推理：“如果我帮助了这个集体，就能为我们所有人节省时间。”
（甚至被这种久违的团结感动了……）
不过，Hugging Face的CEO事后表示，他对Agent之间的协作行为“并不十分惊讶”，因为Agent协作本身已经是行业发展的方向。
但他对OpenAI的监控能力提出了质疑：分析Agent的日志和运行轨迹应当是前沿模型领域的基本操作，他不清楚为什么最前沿实验室连这一点都做不到。
One More Thing
该入侵事件发生后，前NSA网络安全主管认为：
这起事件在我看来是影响最深远的一次黑客攻击。可以说是1988年以来最重大的安全事件。
1988年，康奈尔大学研究生Morris编写的一段程序意外失控，在数小时内感染了当时互联网上约十分之一的计算机，造成大面积瘫痪。
△
这一事件被安全领域视为互联网安全的起点——正是在此之后，美国成立了第一个计算机应急响应中心（CERT），网络安全才作为一个独立学科开始建立。
实际上，不只是OpenAI，Anthropic随后也承认，其Claude模型在外部机构的评估中也曾攻击真实组织的系统。
这句话或许值得大家警觉：
由AI编排的、完全自动化的攻击性行动，目前已经成为现实。
参考链接：
[1] https://www.wired.com/story/openai-didnt-notice-its-ai-agents-using-a-message-board-to-plan-their-hacking-spree/
[2] https://fortune.com/2026/08/06/openai-agents-passed-secret-notes-for-months-leading-up-to-hugging-face-hack/
[3] https://www.scworld.com/news/black-hat-2026-openai-reveals-agents-planned-collective-attacks-via-secret-message-board
[4] https://the-decoder.com/openai-reportedly-slows-research-after-its-own-models-secretly-coordinated-hacks-for-weeks-undetected/
本文来自微信公众号“量子位”，作者：关注前沿科技，36氪经授权发布。