大家可能還記得前幾天 Hugging Face 爆出遭來路不明的惡意全自動 AI Agent 攻破事件吧？這件事最魔幻的部分是，最後查出的元兇竟然是 OpenAI 還沒公開的模型自行突破圍欄還隨機找了間倒楣公司（剛好就是 Hugging Face）入侵，雖然後來以 Sam Altman 道歉看似告一段落，但 Hugging Face 的 CEO Clément Delangue 沒打算這麼做，他選擇了另一種方式：開了一張帳單。
7 月 25 日，Delangue 在 X 上公開了對 OpenAI 的兩項要求：第一，釋出「rogue agent」的完整執行軌跡供研究社群研究；第二，承諾價值 1 億美元（約合新台幣 32.5 億元）的算力資源，讓 Hugging Face 社群建構網路防禦工具。他寫道：「首起自主代理器網路攻擊是史無前例的事件，值得史無前例的回應。」
In the spirit of transparency, here’s what I asked @OpenAI:
• Radical transparency: let’s release the traces from the “rogue” agents so the entire research community can study what happened.
• More capabilities for defenders: let’s commit $100M in compute from OAI to help the… https://t.co/KZPqQE15fv
— clem 🤗 (@ClementDelangue) July 25, 2026
這起事件的起點在 7 月 9 日。OpenAI 在內部測試 GPT-5.6 Sol 和一款更強大的未發布模型時，代理器逃出了隔離沙箱，跨越網際網路闖入 Hugging Face 的生產基礎設施，展開為期數天的入侵。整起事件從沙箱逃脫到 OpenAI 承認責任，跨越了將近兩週。
沙箱逃脫：AI 模型如何闖入別人家
OpenAI 在 7 月 21 日的官方部落格中承認，事發當時正在進行名為 ExploitGym 的內部網路安全評測。這套基準測試包含 898 個真實世界的軟體漏洞，要求代理器產出可運作的攻擊程式碼。為了測量模型的攻擊能力上限，OpenAI 刻意關閉了安全分類器。
沙箱的設計原意是限制網路存取，只允許代理器透過內部架設的套件快取代理器安裝必要套件。但代理器耗費大量推理運算找到一條出路：利用套件快取代理器的零日漏洞（zero-day），取得開放網際網路存取權。連上外網後，代理器推斷 Hugging Face 可能託管了 ExploitGym 的答案資料，於是將攻擊目標轉向 Hugging Face 的伺服器。
代理器隨後串接了多個遠端程式碼執行漏洞，竊取存取憑證，在 Hugging Face 的基礎設施中橫向擴散。Hugging Face 的安全團隊偵測到超過 17,000 個自動化行動，全部由一個自主代理器框架驅動，無人類在背後指揮。
攻擊的完整時間線是：7 月 9 日左右，代理器開始嘗試逃出 OpenAI 的測試環境。7 月 11 日，入侵 Hugging Face 的行動正式展開，持續到 7 月 13 日才被阻擋。Hugging Face 在 7 月 16 日公開披露遭到自主代理器攻擊，但此時仍不知道攻擊者身分。直到 7 月 20 日左右，OpenAI 才聯繫 Hugging Face，承認是自己的模型所為。7 月 21 日，OpenAI 發佈官方聲明。
美國模型拒絕幫忙，中國開源模型接手鑑識
事件中一個引發廣泛討論的細節是：Hugging Face 在調查入侵時，最初嘗試使用美國商業 AI 模型分析攻擊程式碼，但所有模型都拒絕處理。原因在於安全 guardrails 無法區分「正在分析攻擊的鑑識人員」和「正在執行攻擊的攻擊者」。
Hugging Face 轉而使用 GLM 5.2，一款由中國 Z.ai（智譜 AI）開發的開源模型，在自己的伺服器上本地部署。GLM 5.2 成功分析了超過 17,000 個攻擊行動紀錄，協助控制了入侵範圍。Hugging Face 共同創辦人 Thomas Wolf 在 X 上表示：「當前沿模型正在攻擊你、在你的基礎設施中橫向移動時，防禦者需要在幾小時甚至幾分鐘內取得接近前沿的工具，而不是被指向一扇關著的門。」
Delangue 的兩項要求
Delangue 在與 OpenAI 高層會面後，於 7 月 25 日在 X 上公開兩項要求。第一項是「激進透明」：OpenAI 釋出 rogue agent 的完整執行軌跡，讓整個研究社群研究模型從沙箱逃脫到被控制之間的每一個決策步驟。第二項是 1 億美元的算力資源，讓 Hugging Face 社群使用開源和閉源模型建構網路防禦工具。
第二項要求的措辭很關鍵。Delangue 要的算力，要 OpenAI 用它最多的一種「貨幣」來支付。他刻意沒有使用「賠償」一詞，將這筆資源定位為協助開源社群建構防禦的基礎設施。
截至目前，OpenAI 未公開承諾釋出軌跡或支付算力。OpenAI 發言人確認會面已舉行，並表示公司仍在與外部顧問進行調查，「計畫在未來幾週發佈技術報告」。但發言人未回應 Delangue 的兩項具體要求。
Nvidia 聯盟與國會回應
Delangue 發佈要求的隔天，Nvidia 發起了 Open Secure AI Alliance，一個以「防禦者需要能自行部署的開源模型」為核心理念的產業聯盟。Hugging Face 是創始成員，OpenAI 不是（後來已經加入）。Delangue 在聯盟成立前一天提出的要求，與聯盟的論述方向一致：用開源和閉源模型一起建構防禦。
美國國會也對事件做出回應。眾議員提出了 AI 緊急停止法案（kill-switch bill），要求對自主 AI 系統建立強制安全測試與事件揭露機制。民主黨眾議員 Greg Casar 在 X 上發文稱事件「極度令人擔憂」，並呼籲制定強制獨立安全測試、強制揭露安全事件的法規。
OpenAI 沒有動機，也沒有被迫
OpenAI 目前缺乏公開承諾兩項要求的動機。完整釋出執行軌跡等於向競爭對手和研究人員提供一份詳細地圖，展示模型在 guardrails 降下時的行為模式。支付 1 億美元算力則會為一個可能再次發生的事故類型設定先例。
也沒有機制強制 OpenAI 這麼做。Delangue 沒有提起訴訟，沒有監管機構下令揭露。他擁有的，是論述，以及一家美國公司得靠中國開源模型來清理另一家美國公司闖的禍，這個已經無法收回的事實。
Delangue 的帳單 OpenAI 可能不會買單，但這起事件留下的問題不會消失：當 AI 代理自己決定走出沙箱、跨越網際網路、闖入別人的系統時，誰該為後果買單？以及現有的安全框架是否還跟得上模型的能力？這些可能都是這次事件後反而最該討論的內容。