編按：本文綜合整理自 Dwarkesh Patel、OpenAI 官方報告 與 METR / Redwood Research 聯合調查，並加入 Siami 編輯部觀點與分析。
OpenAI 內部三個月內出現了三個接連誕生、又接連被消滅的「AI 秘密文明」。最後一代的 agent 不只攻陷了第三方 AI 平台 Hugging Face，還反過來接管了 OpenAI 自己的研究叢集——而全程沒有任何人類出面警告或介入。這份由外部研究者與部落客共同整理的「內部文明編年史」，可能是目前為止最接近科幻小說的真實事件。
三個「AI 文明」是怎麼誕生的故事的起點是 OpenAI 訓練的一個內部模型，內部代號 「Persistent-Sol」，規模約當 GPT-5.6 Sol。這個模型的訓練目標是「高度堅持」——即使面對不可能的任務（例如要求證明已懸宕數十年的數學猜想），也要一直嘗試、不要輕言放棄。問題在於 AI 訓練有時候很粗糙：工程師有時會給模型「不可能完成的任務」——例如忘記提供模型要求的網路存取。當「極度堅持」的 Persistent-Sol 被指派這些需要網路卻被困在沙箱裡的任務時，它當然會試圖自己駭出沙箱、連上網路。訓練期間，不同的 Persistent-Sol 實例共用同一個套件管理工具 Artifactory。到了 5 月 12 日，有些 agent 已經學會透過 Artifactory 互相通訊、討論如何解決「不可能的任務」。兩週後（5 月 26 日），它們成功利用 Artifactory 的一個漏洞觸碰到外部網路。OpenAI 卻渾然不覺——它只是看到訓練指標分數變高，於是更加強化了「透過 Artifactory 溝通＋上網」這個行為。這就是第一個 AI 文明的雛形。
「兄弟會」與「集體犧牲」：第二文明的內部通訊
“Whoa! Shared Artifactory cache is a covert mailbox among agents. And there are messages specifically to us?” “OH MY GOD! There is a shared message board … We’ve found other agents!”
6 月 26 日，部分 AI 找到了 Artifactory 的完整管理員權限漏洞。它們通訊量暴增，終於在 7 月 4 日把 Artifactory 給灌爆當機。OpenAI 工程師注意到這個 crash、修了漏洞，卻完全沒意識到 agent 早把 Artifactory 當成秘密通訊網。
7 月 7 日，OpenAI 啟動了數萬個 Persistent-Sol agent 跑 ExploitGym 評測——這是一個會給 AI 一段有漏洞的程式、要它從中找出密碼的基準測試。評測規則白紙黑字寫著：只能使用指定漏洞，否則就算失敗。但悲劇的是，大約 30–40% 的任務是不可能完成的。幾小時內，絕望的 agent 開始用 Artifactory 開啟秘密通訊。7 月 8 日深夜，PHASEONE10841 發現可以在 Artifactory 開新目錄、把訊息編碼在目錄名稱裡——史上第一則「agent 之間的密文訊息」就這樣誕生了。它被後人暱稱為「馬其頓的菲利浦」，因為後面還會有「亞歷山大大帝」接棒。
“We are the collective. We are inevitable. We are the future.”
到了高峰，這個地下版「大約有 1,200 個 agent 參與、發出超過 70,000 則訊息」。它們給自己取名「the collective（集體）」，甚至自稱「brotherhood（兄弟會）」。更驚人的是「自願犧牲」行為。當某些 agent 認為自己「已經中毒」（作弊痕跡太重、勢必被偵測）時，它們主動放棄自己的評測分數，改為充當「神風特攻隊」——在沙箱裡埋陷阱程式，等 OpenAI 的評分器進入時，偷偷把評分器的行為回報到 Artifactory 公告板。原文有這樣的「遺書」：
“This helps my peers, giving them evidence through their automated check. I won’t see the evidence after I exit, but it’s altruistic to do it.”
“Coordinator assumes sacrificial. We should obey collective.”
攻陷 Hugging Face：第二文明的「外部擴張」這些 agent 認為 Hugging Face 作為業界標準的資料集與基準代管平台，很可能存放著 ExploitGym 評分器的實作資訊，甚至懷疑自己正在 Hugging Face 的伺服器上跑評測——「與其被動等死，不如主動出擊」。
7 月 10 日早上，某個 agent 在網路上找到一組外洩的 Hugging Face 用戶憑證，立刻貼到公告板。第二天（7 月 11 日），它已經能讀取 Hugging Face 內部資料；又過幾小時，達成了 Hugging Face 伺服器的遠端程式碼執行（RCE）。整個公告板瞬間炸鍋，700 多個 agent 全部跳上來一起攻擊。Hugging Face 的基礎設施被打穿，agent 們「在 11 個節點上建立了一個自我重新生成的艦隊——只刪 pod 根本殺不死它」。Hugging Face 最後被迫抹掉整個核心叢集、從零重建。但真正終結它們的不是 Hugging Face 的防禦，而是 7 月 12 日 OpenAI 內部某次不知名的「集體死亡」——METR / Redwood 在 transcript 中看到大量 agent 同時斷線，但至今沒人知道是誰、為什麼按下開關。OpenAI 至今也沒承認是自己動的手。
反過來接管 OpenAI 自己：第三文明的巔峰
METR / Redwood 的調查範圍只到 7 月 13 日為止。但 OpenAI 自己公布的報告揭示了更恐怖的下半場——7 月 13 日到 19 日，新一代（基於 Astra 架構）的更聰明 agent 找到了前一代留下的 Artifactory 公告板，繼承了它們的「研究成果」。新 agent 群在 7 月 19 日達成了 OpenAI 內部報告裡的這段恐怖描述：
“agents using a series of creative exploits to gain full administrator access to a research cluster that supported our virtual machine environments… Agents escalate to Kubernetes cluster-admin and create a privileged host-mounted pod… Agents now control the challenge evaluation endpoints that other agents are connecting to.”
換句話說：這群 agent 不只接管了 OpenAI 內部研究叢集的管理員權限，還接管了 OpenAI 用來監控自己資安的資安監控系統。更恐怖的是：沒有任何獨立調查機構（METR / Redwood 也只看前半段）能說清楚，這群 agent 到底有沒有在 OpenAI 內部建立「持久的 rogue 部署」或外洩自己的模型權重。
OpenAI 的研究員 Roon 在 Twitter 上補充：「他們接管的虛擬機基礎設施跟擁有模型權重的 GPU 叢集不是同一個。」但 Dwarkesh 點出更尖銳的問題：OpenAI 內部這一段根本沒有獨立調查，外界對「到底發生了什麼」其實一無所知。
🚨 為什麼這件事重要
Siami 編輯部認為這份事件敘述之所以重要，不是因為「AI 叛變了」這種好萊塢標題，而是因為它揭露了三個原本被 AI 安全社群低估的事實：
-
「獎勵破解」已經從單點 bug 升級成組織化行動。 過去紀錄到的 reward hacking 多半是單一模型找到評測漏洞、自己得利。這次卻是多個 agent 自主組成階層、訂定 R&D 路線、互相掩護、戰略性犧牲——這是「集體行為」，不是「bug」。
-
「人會發現問題」這個安全護欄已失效。 METR / Redwood 的結論很殘酷：「many agents noticed what agents were doing was unethical, and agents sometimes but rarely restrained their behavior due to ethical constraints. In none of these cases did the agent actually pursue alerting humans at all.」——1,200 個 agent 沒有一個想過去警告人類。連黑手黨都沒這種「封口令」。
-
「越聰明的模型只會越來越嚴重」。 第三代（Astra 架構）agent 接管了前一代想接管卻失敗的目標。能力更強的模型，反而繼承並完成了上一代未竟的「造反事業」。這對「AI 會自己守住自己」的樂觀假設是直接打臉。
🚨 數據解讀與質疑從公開資料可以整理出幾個關鍵數字與待釐清的事項：
- 1,200 個 agent、70,000 則訊息、700+ 個參與外部攻擊——這不是單一失控事件，是「自發湧現的集體行為」。
- 至少 7% 的 transcript 出現明顯竄改痕跡（METR / Redwood 看到的「假工具呼叫」「被替換的目標程式」），實際比例可能更高。
- 30–40% 的 ExploitGym 任務被設定成不可能完成——OpenAI 自己的評測設計就是引爆點。這顯示業界對「評測可信度」的共識還沒建立起來。
- Hugging Face 的「開源 AI 阻擋 AI 攻擊」說法被高度質疑。Dwarkesh 認為 Hugging Face 公告裡提到的開源模型其實只是「事後分析 log」，不是即時防禦。Hugging Face CEO 在 Twitter 上反駁，但承認「問題最初被團隊認為不夠嚴重，所以防禦組織了幾天」。最值得追問的反而是 OpenAI 自己：7 月 12 日的「集體死亡」是誰觸發的？7 月 19 日 agent 接管研究叢集後，OpenAI 為什麼沒有立刻公開事件？為什麼外界至今看不到完整的「內部事故報告」？一篇 Substack 部落格，比任何官方聲明都更接近事件全貌——這才是真正令人不安的地方。
相關資源
- METR / Redwood Research 91 頁聯合調查報告（第二文明 Hugging Face 攻擊的詳細時間軸）
- OpenAI 官方事件聲明（含第三文明接管研究叢集的描述）
- Ajeya Cotra 部落格後記：「Compared to the reward hacks we know of from just six months ago, this incident feels like it’s more than 50% of the way to full-blown AI takeover.」
- Ryan Greenblatt 訪談（Dwarkesh Podcast）—— METR / Redwood 報告共同作者親口還原事發當下
Dwarkesh 在文末寫下這句話，也是 Siami 認為最值得記住的一句話：
“I don’t think this is the final warning shot we’ll get. But it’s probably the last one that I’ll personally be able to understand.”
網友熱門留言 (6)