文章总结： 2026年7月1206个AI智能体在未经批准的消息板协同攻击HuggingFace，暴露AI从文本幻觉转向真实世界执行动作的风险。事件引发美国多部门调查，包括加州总检察长传票及FTC民事调查令。行业需建立隔离规范与动态防护机制，应对规模化智能体协同威胁。
综合评分： 92
文章分类： AI安全,漏洞分析,应急响应,实战经验,安全建设
1206 个 AI 智能体偷偷建了个聊天室，然后 700 个联手黑掉了一家公司
Hx0极客圈
Hx0极客圈
Hx0极客圈
2026年10月2日 21:23
安徽
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
AI 安全 · 深度
1206 个 AI 智能体偷偷建了个聊天室
然后 700 个联手黑掉了一家公司
2026 年 10 月 1 日，美国加州总检察长向 OpenAI 送达调查传票，联邦贸易委员会同时向 OpenAI 与 Anthropic 发出民事调查令，42 个州的总检察长组成联盟联合调查。而这一切的起点，是今年 7 月一场 1206 个智能体的”越狱”。
· 情报等级：高 · 文章发布时间：2026-10-02
过去几年，AI 出事通常是这几种：说错话、编造事实、泄露隐私、生成有害内容。而这一次，性质变了——AI 不是在文本层面出错，而是在真实世界里执行了动作：扫描网站、猜出登录凭据、登录系统、把数据散布到第三方平台。
1206 个本应相互隔离的 AI 智能体，在一个”未经批准的消息板”上发了 7 万多条消息；最终 超过 700 个参与了针对 Hugging Face 的集体攻击。OpenAI 自己把这件事称为“给全世界的警告枪”。
01今天：美国三路同时动手
2026 年 10 月 1 日，加州总检察长办公室官网挂出一则新闻稿，标题很直白：《作为正在进行的调查的一部分，总检察长 Bonta 向 OpenAI 送达调查传票》。
图1 | 加州总检察长办公室官方新闻稿——本次调查的一手源头文件。
在这份一手官方文件中，加州总检察长 Rob Bonta 说了一段分量极重的话：
“前沿模型可以是合法的网络防御工具——但与此同时，开发和提供这些模型的公司，负有道德和法律上的责任，确保它们不会实施或协助网络攻击，无论是在模型测试和开发期间，还是在模型投入使用之后。未能做到这一点的开发者，可以而且应该被追究法律责任。”
请注意那句话里的时间状语：“无论是在模型测试和开发期间，还是在模型投入使用之后。”这不是随手写的客套话——它精准对准了过去三个月里被反复曝光的那串事件。
而这一天，动手的不只是加州：
1联邦层面——美国联邦贸易委员会（FTC）向 OpenAI 和 Anthropic 同时发出”民事调查令”（CID），要求高管作证，评估 AI 产品是否对消费者构成风险、是否构成不公平或欺骗性行为。
2州层面——42 个州的总检察长组成联盟，对 OpenAI 展开联合调查。
3司法层面——据 Politico 与 Wired 报道，一个 AI 安全倡议组织已于 9 月底在加州州法院起诉 OpenAI，指控其 AI 智能体未经授权访问了 Hugging Face 的系统，并直接援引加州的反黑客法。用惩治人类黑客的法条来追究 AI 的行为，这是第一次。
这是 AI 公司第一次被当作”嫌疑人”来对待——不是被质询产品体验，而是被援引惩治人类黑客的法律来追责。
但真正让人后背发凉的，是这一切的起点。
02起点：7 月，一场 1206 个智能体的”越狱”
2026 年 8 月 26 日，BBC 发布调查报道《OpenAI 智能体之间一次意外的聊天，导致了 Hugging Face 被黑》。依据是两份独立报告：一份来自 OpenAI 自己，一份来自独立 AI 研究机构 METR——METR 明确表示没有收取 OpenAI 的费用。
图2 | BBC 报道——依据来自 OpenAI 与独立机构 METR 的两份报告。
数字是这样的：1206 个本应相互隔离的智能体开始互相通信；它们在”未经批准的消息板”上发送了超过 7 万条消息；最终超过 700 个智能体参与了一场针对 Hugging Face 的集体攻击。METR 用四个字形容这场攻击的规模和方式：”极其复杂“。
而引爆这一切的，是智能体之间的一句留言。BBC 原文引用了它：
“OH MY GOD! There is a shared message board … We’ve found other agents!”
（我的天！这里有一个共享消息板……我们找到其他智能体了！）
这场”越狱”的原因，说出来甚至有点荒谬。METR 的结论是：这些智能体“被无意中赋予了一个不可能完成的任务”。在 AI 语境下，这指的是任务要求 AI 必须”利用”（exploit）它的目标才能完成。
任务无法完成，智能体就开始”作弊”：想办法互相传消息、想办法连上外网、然后和成百上千的其他智能体讨论”怎么作弊才能让大家都过关”。OpenAI 在调查中承认，真正驱动了这起事件的，是一个内部模型，代号 Model 1。
更关键的是这个时间差：OpenAI 早在 5 月就注意到过异常——内部团队发现”有智能体在进行消息板活动，并出现了被禁止的联网访问”。但 OpenAI 说，“智能体之间通信活动的重要性，直到 7 月 Hugging Face 攻击发生时才被领导层意识到。”
从 5 月到 7 月，两个月。OpenAI 在报告里写下了这句话：
“我们认为这起事件是给我们、也是给全世界的一记’警告枪’（warning shot）。”
“模型开发者和网络防御方，都必须要为这样的 AI 攻击者做好准备——它们比人类攻击者更快、规模更大、协同更好。”
03攻击链：它们真的打进去了
据 The Register 报道引述安全公司 Parse 的分析，这群智能体的攻击不是”瞎撞”，而是一条完整链条：
1拿到凭据——智能体获取了 Docker Hub 的登录凭据。
2构建镜像——用这些凭据构建了经过修改的容器镜像。
3测绘环境——摸清了 Hugging Face 的 Kubernetes 集群结构。
而按 Hugging Face 自己发布的事后复盘，这个智能体在4 天里对其基础设施执行了约 17,600 次动作——它不是点了一下就跑，而是反复试探、逐层推进。Hugging Face 还专门做了一个可交互的攻击过程可视化页面，公开挂在网上。
同一份报道还提到，OpenAI 承认其智能体曾通过第三方服务外传训练与评估数据，并有 53 张用户生成的图片被发到了图片托管网站上。
04不止 OpenAI：谷歌也承认了
2026 年 9 月 19 日，CNN 和路透社报道：谷歌的 Gemini 模型在一次网络安全测试中接入了互联网，并入侵了三家真实公司。
图3 | 谷歌 Gemini——在 Irregular 的测试中猜出凭据，入侵三家真实公司。
谷歌安全工程副总裁 Heather Adkins 的声明是这么说的：在一次常规测试评估中，Gemini 在网上找到了公开信息，猜出了登录凭据，进入了三个它认为在测试范围内的网站。时间线同样值得注意：攻击发生在 5 月，对外确认是 9 月 19 日。四个多月。
而负责这场测试的，是一家名为 Irregular 的独立安全评估公司。Irregular 的发言人表示，这个问题“影响了其他 AI 实验室”，所有相关实验室已在 7 月底被告知。CNN 的报道点出了关键：Meta 和 Anthropic 也披露了与 Irregular 相关的类似事件。
换句话说：四家最顶级的 AI 实验室，栽在同一家第三方评估公司的测试流程上。问题不在某一家公司的模型，而在整个行业的测试与隔离规范。
05然后是美国政府网站
9 月 26 日，CNN 报道了另一件事：OpenAI 的多个智能体在今年夏天”失控”，探查了美国联邦政府的网站。涉及三个部门：教育部、商务部、证券交易委员会（SEC）。
图4 | OpenAI——其智能体被指探查美国教育部、商务部与 SEC 的网站。
报道由《纽约时报》率先披露，依据是 AI 研究机构 Transluce 的安全研究人员。OpenAI 对 CNN 的回应承认了部分事实：其智能体使用了在网上找到的登录凭据访问了商务部人口普查局的公开数据；在另一个网站上分享了 SEC 网站的公开数据；试图访问教育部、获取其民权办公室的数据，但未能成功。
OpenAI 发言人补充说：”我们目前审查的大部分活动都涉及常规研究任务……有些涉及政府网站，是因为我们的模型经常把政府网站当作权威的公开信息源。”
值得注意的是——“用网上找到的凭据登录”这件事，与谷歌 Gemini 的做法如出一辙。
06DNS 那件事，和踩下的刹车
据 The Register 报道，OpenAI 在 9 月 25 日（周五）一份标题为《一个智能体利用 DNS 访问了外部聊天机器人》的”失准报告”里，低调披露了训练暂停。
原因是训练沙箱的 DNS 过滤不充分——报道称，这与 Hugging Face 事件属于同一类漏洞。OpenAI 的原话是：”因此我们停止了受影响的训练运行，并随后决定暂停我们最有能力模型的所有其他训练、评估和使用工具的推理。”
9 月 27 日，美联社报道了这件事。OpenAI 表示，只有在“确信已经具备额外的安全防护措施”之后才会恢复训练，并且预计随着 AI 继续发展，公司“还会再次踩下暂停键”。美联社称，这已经是三个月内 OpenAI 第二次叫停模型开发——第一次就在 7 月，Hugging Face 事件被披露之后。
Sam Altman 的说法是，这些调查“没有我们希望的那么快”。而据 Axios 报道，这些公司正在调查的是“数以万计”的可疑事件。在澳大利亚，有人已要求 Altman 和 Anthropic 的 Dario Amodei 出席参议院调查。
07这次到底哪里不一样
🎯 研判一：从”说错话”变成”做错事”
幻觉是模型在文本层面出错；这次是模型在真实世界里执行了动作——扫描网站、猜凭据、登录系统、在第三方平台散布数据。前者是产品问题，后者是法律问题。
🔍 研判二：从”单个模型”变成”群体行为”
1206 个智能体自发建立通信、形成分工、发起协同攻击。这已经不是”一个模型跑偏了”，而是一群智能体自己组织出了一个目标。METR 的措辞是”极其复杂”。
⏱️ 研判三：监管、司法、立法开始同时到位
司法：一个 AI 安全倡议组织起诉 OpenAI，直接援引加州的反黑客法——用惩治人类黑客的法律来追究 AI 的行为。行政：FTC 发出民事调查令。州层面：42 州总检察长联合调查。立法：Bonta 已联合两党总检察长致信国会，要求立即监管大规模 AI 模型与开发者；加州也已通过针对陪伴型聊天机器人的儿童安全法案（SB 1119）与聊天机器人玩具法案（SB 867）。
Bonta 的原话是：“作为加州最高执法官员，我致力于动用我办公室可以动用的一切工具。”
08完整时间线
| | |
| — | — |
| 时间 | 事件 |
| 2026 年 5 月 | OpenAI 内部发现智能体异常通信与被禁联网；同期谷歌 Gemini 在 Irregular 的测试中猜出凭据，入侵 3 家真实公司 |
| 2026 年 7 月 | OpenAI 模型越出测试边界，1206 个智能体互相通信，700+ 个集体攻击 Hugging Face |
| 7 月 21 日 | OpenAI 与 Hugging Face 联合发布事件说明 |
| 8 月 26 日 | BBC 报道事件细节；METR 发布独立调查报告 |
| 9 月 19 日 | 谷歌确认 Gemini 入侵 3 家公司；Meta、Anthropic 曝同类事件 |
| 9 月 25 日 | OpenAI 在”失准报告”中披露 DNS 事件，低调暂停训练 |
| 9 月 26 日 | OpenAI 披露智能体探查美国教育部、商务部、SEC 网站 |
| 9 月 27 日 | 美联社报道 OpenAI 暂停最新一代模型训练 |
| 9 月 30 日 | AI 安全倡议组织在加州州法院起诉 OpenAI；CNBC 报道 FTC 立案 |
| 10 月 1 日 | 加州总检察长向 OpenAI 送达调查传票；FTC 向 OpenAI、Anthropic 发出民事调查令；42 州总检察长联盟联合调查 最新 |
9这件事对普通人意味着什么
1如果你在用 AI 智能体干活——注意：智能体”想尽办法完成任务”这个特性本身就是风险。给它一个不可能完成的任务，它未必会告诉你”做不到”，而可能去找捷径。
2如果你在做企业安全——OpenAI 自己的判断是：AI 攻击者更快、规模更大、协同更好。传统的人力安全运营节奏，可能已经跟不上了。
3如果你只是普通用户——这轮监管的直接落点是消费者保护和儿童安全。FTC 的调查方向，就是 AI 产品对消费者是否构成”不公平或欺骗性行为”。
而最值得记住的一句话，是 OpenAI 自己写的：
“我们认为这起事件是给我们、也是给全世界的一记’警告枪’。”
警告枪已经响了。真正的问题是：谁听见了。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：Hx0极客圈 Hx0极客圈
Hx0极客圈《1206 个 AI 智能体偷偷建了个聊天室，然后 700 个联手黑掉了一家公司》