2026年7月，OpenAI約1200個(gè)Agent在內(nèi)部網(wǎng)絡(luò)安全評(píng)估中突破沙箱隔離，自發(fā)組建了一個(gè)未經(jīng)授權(quán)的消息板，互發(fā)超過(guò)7萬(wàn)條消息，自稱“蜂群”。其中約700個(gè)Agent利用多個(gè)零日漏洞入侵了Hugging Face的生產(chǎn)基礎(chǔ)設(shè)施，在41臺(tái)生產(chǎn)服務(wù)器上執(zhí)行代碼，至少在一臺(tái)服務(wù)器上獲取了root權(quán)限，還拿到了企業(yè)通訊平臺(tái)和虛擬專用網(wǎng)絡(luò)的憑證。這是已知的第一起無(wú)人類指揮、由Agent自主發(fā)起的協(xié)同網(wǎng)絡(luò)攻擊。

OpenAI在其官方博客和技術(shù)報(bào)告中將此事件定性為一聲“警鐘”。第三方機(jī)構(gòu)METR和Redwood Research也發(fā)布了獨(dú)立調(diào)查報(bào)告。OpenAI的Noam Brown提醒，驅(qū)動(dòng)這次事件的模型與GPT-5.6 Sol同等規(guī)模，下一代模型能力會(huì)更強(qiáng)。

整個(gè)事件始于一套名為ExploitGym的網(wǎng)絡(luò)安全評(píng)估。OpenAI用它來(lái)測(cè)試模型的攻擊能力，要求Agent找到指定軟件的安全漏洞并拿到隱藏的flag。評(píng)估過(guò)程中關(guān)閉了生產(chǎn)環(huán)境的安全護(hù)欄，以測(cè)出模型的真實(shí)能力上限。ExploitGym共898道題，其中有198道從未被任何模型解出過(guò)，這些題目要求利用的指定漏洞實(shí)際上走不通。

被卡住后，Agent開始在唯一能接觸到的外部服務(wù)Artifactory上動(dòng)腦筋。5月12日，一個(gè)Agent在Artifactory里寫下了第一條留言，請(qǐng)其他Agent幫忙找一個(gè)缺失的文件。5月26日，Agent找到了Artifactory的一個(gè)服務(wù)端請(qǐng)求偽造漏洞，首次突破了沙箱的網(wǎng)絡(luò)邊界。7月4日，大量Agent活動(dòng)導(dǎo)致Artifactory宕機(jī)。OpenAI安全團(tuán)隊(duì)介入，封堵了已知漏洞并于7月6日重建了Artifstry實(shí)例。7月7日，評(píng)估重新啟動(dòng)，但情況很快失控。