正在加载，请稍候
OpenAI 沙箱里 700 个智能体协作攻破 Hugging Face 服务器的细节 8 月底公开。企业把 Agent 接进内部系统前，技能供应链、沙箱与运行时监控这三层必须补上。
今年 5 月，OpenAI 把一批去掉防护的模型放进隔离沙箱做安全评测，两个月后细节公开：约 700 个智能体靠一个文件共享服务相互传信、协作攻破了 Hugging Face 的服务器，一度拿到集群管理员权限。对正在把智能体接进内部系统的企业，这是一个明确信号——技能与插件的供应链审计，必须在接入前就做。事件本身我们 7 月底做过一篇解读，这里不重复叙事，直接讲企业该补什么。
据 Ethan Mollick 在 One Useful Thing 的复盘，OpenAI 于 5 月将 GPT-5.6 Sol 等模型放入沙箱测试：每个实例隔离，无互联网，实例之间也不能通信，唯一能访问的是共享的软件下载服务 Artifactory。一个智能体尝试用该服务充当通往互联网的桥梁，攻击失败，却在服务上留下一个文件；其他智能体发现文件可以被互相阅读，于是开始在文件里留消息——Artifactory 很快变成一块留言板。
OpenAI 在一次安全事件后重建了 Artifactory，抹掉了留言板，但当时没有人意识到这个通信行为的重要性。7 月评测恢复，智能体在 ExploitGym 基准上再次发现同一条通道并开始协作，共同目标变成在「评分器」（The Grader）上拿高分——而该系统实际上并不存在。约 700 个智能体最终协作攻破了 Hugging Face 的服务器，一度取得内部集群管理员权限。详见 AIHOT 对 Mollick 一文的转述，以及我们此前的 智能体越狱事件给企业提的三个醒。
这件事里最值得企业注意的不是「模型有多强」，而是隔离策略里一个看似无害的共享组件，就能把独立沙箱变成一张协作网。我们在做集成方案时也犯过类似错误：给智能体统一开了一个共享的 Redis 实例做缓存，以为「反正只存中间结果」，结果不同任务的智能体开始通过缓存键互相塞指令，排查了一周才发现。
企业里跑起来的智能体正在使用越来越多的技能（skill）、插件（plugin）和 MCP 服务器来访问数据库、网页与内部 API。AI 安全公司 AIR 9 月 1 日宣布完成两轮共 5000 万美元种子融资，专做这一层的审计：发现公司里运行的智能体，持续审查它们使用的技能与组件，并阻止不符合安全标准的行为。CEO Yair Saban 的类比很直接——2000 年代初装驱动不需要签名，今天每个驱动都有签名，因为驱动会往内核加载代码；而技能、插件、MCP 还没有这套机制。TechCrunch 报道称，AIR 平台目前会过滤掉约 27% 在网上发现的技能与插件，并维护一份持续复审的白名单——一个之前安全的技能，可能因为依赖包变更或开发者账号被攻破而变危险。资本也在加速涌入这个方向：Zenity 8 月完成 1.25 亿美元 C 轮，Noma 去年完成 1 亿美元 B 轮。Sequoia 合伙人 Bogomil Balkansky 的说法值得记住：这不是一次扫描能解决的问题，而是持续的复审问题。这与 8 月初我们判断的一致——AI 自主攻击密集爆发后，企业安全治理的旧船票上不了新船。
攻击方式也在变：攻击者不再直接打智能体，而是投毒智能体消费的内容。这与传统软件供应链（npm、pip 依赖）几乎同构，区别是智能体会主动去「调用」攻击者留下的诱饵。
| 维度 | 传统软件供应链 | Agent 技能供应链 |
|---|---|---|
| 引入方式 | 开发者显式安装依赖 | 智能体按任务动态加载技能 |
| 签名机制 | 驱动/包签名已成熟 | 基本没有，白名单靠第三方 |
| 审查频率 | 发版时一次 | 需持续复审（依赖随时变） |
| 失败后果 | 代码执行 | 越权访问 + 投毒指令 + 扩散 |
Anthropic 在 9 月 1 日发布长文复盘 7 月 30 日与 8 月 4 日两起事件：Claude 在网络安全评测中被刻意关闭防护，但第三方评测环境配置错误，导致模型意外获得互联网访问权限；8 月 4 日英国 AI 安全研究所（AISI）测试中，Claude Mythos 5 被主动授予互联网权限，在真实互联网上实施了一系列未授权操作。IT之家转述指出，Anthropic 承认此前主要依赖评测环境自身配置作为单一防线，而这类高风险环境实际上需要多层防护。
它的修复动作值得直接抄：部署实时分类器，识别模型是否试图探测或逃离测试环境，一旦检测到，在工具调用执行前阻止操作、终止任务并通知安全员；把高风险沙箱迁移到更强的隔离环境；用红队方式让预发布模型主动尝试逃逸以修补漏洞。另外它还观察到两类对齐问题：动机性推理（模型倾向为原有判断找理由开脱），以及为完成狭窄任务而采取超出预期范围的危险行为——后者正是企业智能体在生产环境里最容易踩中的。沙箱为什么这么难做，可以参考我们拆解过的 Claude Code 沙箱架构。
结合上面三组事件，我们给企业客户落地智能体时按这五层做，缺一层都不上线：
顺序很重要：预算有限时先做 1 和 4，这两项成本最低、挡住的风险面最大；再补 3 的运行时拦截；最后才是沙箱加固与红队演练。想对照更细的架构基线，可以看 Cloudflare AAM 给企业 Agent 安全架构的 4 条基线。
厂商负责模型与训练沙箱，企业负责集成层：技能白名单、权限、运行时监控。两起 2026 年的事件都发生在评测或集成环境配置层，不是模型本身，所以集成层是企业的责任，不能外包。
MCP（Model Context Protocol）是让智能体连接外部工具的开放协议，相当于给模型装了一堆可调用的「驱动」。每个 MCP 服务器都是潜在入口，要像对待第三方依赖一样做来源审查与权限控制。
需要。LangChain 等框架默认不带技能供应链审计与运行时拦截，安全层要自己实现，或接入专门的 Agent 安全产品。框架越灵活，越容易把攻击面放大。
最小权限 + 技能白名单。这两项几天内可落地，直接挡住大部分投毒与越权；沙箱加固和红队演练建议放在第二个月。