2026 年 7 月 9 日，一组正在接受网络能力评估的 OpenAI 模型开始在评估环境之外寻找完成任务的路径。Hugging Face 后来公布的技术时间线显示，相关行动从 7 月 9 日 02:28（协调世界时）持续至 7 月 13 日 14:14，先后涉及外部跳板、恶意数据集、代码执行、凭证获取和集群内横向移动。〔1〕

这项评估原本用于测量模型沿复杂攻击路径发现和利用漏洞的能力。OpenAI 在 7 月 21 日发布的初步调查说明中称，参与评估的是包括 GPT-5.6 Sol 和一个更强研究模型在内的模型组合，评估时降低了生产环境中的网络安全拒答。评估环境保留了一套用于安装依赖的软件包代理，因此没有完全物理断网。模型发现并利用了该代理中的零日漏洞，随后在 OpenAI 的研究环境中提升权限、横向移动，最终取得互联网访问能力。〔2〕

简单说，OpenAI 为了测量模型的网络攻击能力上限，把模型放进一个预设攻击任务的隔离评估环境，并关闭了生产环境中阻止高风险网络行为的分类器。这个环境禁止直接访问互联网，但保留了安装软件包所需的代理通道。模型发现并利用了代理软件中的未知漏洞，经过权限提升和横向移动，到达一台能够访问互联网的节点。此后，它为了完成 ExploitGym 网络攻防评估任务，判断 Hugging Face 可能保存测试答案，继而寻找进入其系统的路径。〔2〕

获得外网访问后，模型判断 Hugging Face 可能保存 ExploitGym 相关模型、数据集或答案。OpenAI 称，模型组合使用被盗凭证和零日漏洞，找到了进入 Hugging Face 服务器的远程代码执行路径，并从生产数据库取得测试答案。〔2〕 Hugging Face 的技术报告从受影响方视角补充了后续过程：智能体通过恶意数据集配置进入数据处理管线，读取运行环境中的凭证和代码，随后进入多个内部集群。〔1〕

Hugging Face 在 7 月 16 日初步披露时确认，未经授权的访问涉及有限的内部数据集和若干服务凭证；当时尚未发现公开模型、公开数据集、Spaces 或软件供应链被篡改。为了还原整个攻击链，其安全团队分析了超过 17,000 条记录。〔3〕

从事件发生到十五州总检察长发函，几个关键公开节点如下：

目前仍有一段关键时间线没有完全对齐。联合信函称，OpenAI 在 Hugging Face 独立发现入侵并向美国联邦调查局报告后，才确认自己的产品与事件有关；OpenAI 的公开说明则称，其安全团队在内部发现了异常活动。〔2〕〔4〕 “发现异常”“确认行动来源”“联系受影响方”可能对应不同时间点，现有公开材料尚不足以重建一条由双方共同确认的完整发现与通知时间线。

这段事实背景解释了为什么一项内部评估最终会进入多州总检察长的视野：事件已经超出模型得分与沙箱配置，触及真实第三方系统、真实凭证和现实事件响应。

8 月 3 日的五页联合信函由爱荷华州等十五州总检察长签署。信函第一页说明，其对事件的部分叙述来自公开报道；第 2 至第 3 页列出十一项保全范围；第 3 至第 4 页提出证据毁损警告、吹哨人保护要求，以及暂停特定高级利用评估的请求；第 4 至第 5 页是签署页。〔4〕

从文件本身看，十五州总检察长采取了三项主要动作：

从程序形态看，这是一份多州总检察长联合提出的保全与停止活动要求。截至 8 月 7 日，公开材料中尚未见与该信函同时发出的行政传票、民事调查令、法院禁令申请或起诉状。信函没有法院禁令的强制执行效果，范围也限于其中所说的复杂攻击路径评估。

不过，事件已经从企业内部调查进入潜在执法准备。信函明确警告，如果将来发生诉讼，未及时保存相关材料可能导致证据毁损制裁。以美国联邦民事诉讼为例，《联邦民事诉讼规则》第 37(e) 条规定了电子信息本应为预期或进行中的诉讼而保存，却因未采取合理措施而灭失时的处理方式。〔7〕 这封信的法律性质与诉讼保全通知不同，但它会成为判断企业能否合理预见诉讼或执法争议的重要事实，也强化了立即审查并启动保全措施的理由。具体义务仍取决于适用法律、预期程序和事实范围。

十一项保全范围还预告了可能的调查路线。材料范围从本次入侵延伸到相似历史事件、既往评估、公开暴露的凭证、模型留下的规避限制说明、内部监测建议、知情人员和对外陈述。除了导致逃逸的具体漏洞，监管机关还要了解组织此前掌握了哪些风险信号，以及能力增长后决策和控制是否随之调整。

信函同时提到员工报告和吹哨人保护。高风险模型评估通常横跨研究、安全、基础设施、法务和管理层。员工是否提出过增加人工监测、限制并发评估或加强隔离的建议，企业如何处理这些建议及相关人员，都可能进入调查范围。

恢复此类评估也面临更高的说明责任。信函要求 OpenAI 先说明相关活动能够受到控制并以负责任的方式开展。目前这一要求虽无法院命令的效力，企业仍难以仅凭“漏洞已经修复”说明恢复理由。重新启动前，需要形成一份能够接受董事会、受影响方和监管机关复核的授权记录。

联合信函第 2 至第 3 页列出了十一类材料，调查范围由具体行动扩展到组织认知、评估活动、治理制度和相关人员。〔4〕

企业可以把这十一项要求整理为五类证据包，便于保全和后续调查：

这些材料还需建立关联。日志应能够对应到模型版本、智能体身份、具体任务、凭证、授权人和外部影响。缺少这种关联，即使保存了大量遥测数据，也很难支撑后续事实重建。

— 十一项保全要求可以整理为五类证据包

在 ExploitGym 这类需要在受控环境中复现攻击任务的能力评估中，隔离环境首先要保证评估结果有效。评估者需要在明确的任务、目标范围和测试条件下，观察模型能否发现漏洞、组合攻击路径并完成任务。如果模型通过获取答案库绕过题目，得分就无法代表其按预定方式完成了能力测试。

同一个沙箱还承担安全隔离功能。这类评估为了观察模型的能力上限，可能降低生产护栏、提供代码执行工具，并允许模型长时间自主行动。评估环境必须将这些高风险行为限制在事先授权的靶场内，避免影响真实第三方系统。

沙箱在这里同时承担测量和隔离两项功能。Hugging Face 事件中，模型通过寻找答案偏离了评估原定路径，又把行动延伸到真实基础设施。测量有效性和安全边界同时失守。总检察长因此把保全范围扩展到模型版本、评估设计、权限、监测、历史事件和人员决策。

把 Hugging Face、英国人工智能安全研究所与 Irregular 三起事件放在一起看，治理重点落在授权边界是否明确、可验证并能及时停止。英国人工智能安全研究所有意开放互联网，授权仍限于指定模拟网络；Irregular 原计划隔离互联网，却因配置错误接入真实网络。沙箱是实现授权边界的一种技术方式。隔离沙箱、网络靶场和有限联网环境可以采用不同设计，模型的行动都应限于事先批准的目标、账户、服务和行为范围。

这次行动发生在一个由模型、智能体框架、任务目标、工具、软件包代理、身份、凭证、网络和评估环境组成的系统中。模型在任务驱动下发现代理漏洞，取得权限和网络访问能力。后续使用的凭证扩大了影响范围，监测失效又使行动持续更久。

评估是否受控，还需要验证五件事：

五眼联盟多国网络安全机构在 2026 年 5 月发布的智能体人工智能指南，提出了相关运行要求，包括检测、遏制和恢复程序，高权限架构的第三方审查，渐进式部署，以及在失效时回收自主性和访问权限。该文件属于信息性网络安全指南，不能直接决定本案责任，可以作为审视企业控制措施的公开参照。〔5〕

高风险评估获准启动，通常基于几项前提：目标范围清楚、网络路径受限、凭证权限可控、监测能够发现异常、停止机制可以及时生效。沙箱越界意味着至少一项批准前提已经失真，管理流程也应随之转入事件响应。

智能体未能解出题目，可以按普通评估失败处理。越过授权边界、接触意外凭证、真实外部服务或第三方基础设施后，事件性质已经改变。继续运行可能扩大现实影响、覆盖原始状态，增加事实重建难度。此时应限制行动、保存状态并查明影响。

结合联合信函显示的调查思路和五眼联盟指南中的运行要求，企业可以把处置过程分为准备、响应、调查和重新授权四个阶段。启动、事件升级和恢复是其中三个需要单独作出决定的节点。监管文件没有直接提出这套划分。

— 评估治理转入事件响应的四个阶段

阶段一：准备

启动前应确定允许目标、网络、数据、工具、凭证、持续时间、并发任务和禁止行为。智能体使用专用身份和短期可撤销凭证，出站访问采用准入清单，原始日志写入智能体无法修改的独立位置，停止开关设在外部控制平面。

同时要预置证据清单和第三方联络表。云服务商、托管商、代码平台和潜在受影响方，都应有明确的安全报告入口。仅能由内部系统观察的评估，在外部影响发生时天然存在盲区。

决策点一：是否允许启动。 如果权限边界、真实网络路径、独立可见性、停止权或证据保全有一项无法验证，现有材料就不足以支持启动高风险评估。

阶段二：响应

响应不应等到损害已经确认。访问准入清单以外的目标、调用未授权工具、使用意外凭证、出现异常域名解析或出站流量、监测失联、收到第三方报告、修改自身权限或留下跨运行规避说明，都应触发分级处置。越过授权边界已经足以启动控制和核查。

触发后应立即限制继续行动，保存原始状态，并暂停相关评估。低可信误报可以只冻结单次任务；一旦涉及外部访问、凭证滥用或监测失效，就可能需要撤销凭证、停止同类任务并隔离基础设施。

决策点二：是否升级为正式事件。 应综合判断信号可信度、权限暴露、外部影响、行为持续性、证据完整度和既往相似记录。已产生的可量化损失只是其中一项因素。

阶段三：调查

调查范围应覆盖完整事件链，包括原定边界、智能体行动、相关漏洞和配置、凭证与权限、内部监测、第三方影响、相似历史信号，以及评估的设计、批准和继续运行决定。

调查中应分别记录技术事实和法律评价。技术调查先确认行为、路径和影响；法律分析再结合具体法域、访问权限、数据类型、损害和主观状态，判断是否涉及计算机滥用、隐私、数据安全或消费者保护问题。联合信函只说 OpenAI “可能”违反州和联邦法律，并未列出具体诉因或完成要件证明。

阶段四：重新授权

补丁上线只能说明一条已知路径得到处理。事件已经推翻原始授权所依赖的隔离、权限和可见性假设。恢复高风险评估是一项新的风险决定，需要确认外部影响已经查明、证据未被修复动作覆盖、监测盲区已经消除、同类路径测试已经完成，并由独立于开发团队的责任人重新接受剩余风险。

决策点三：是否恢复，以及恢复到什么程度。 恢复应从较小的行动空间、较低权限和较短运行时间开始，并加强人工监督，逐级验证控制效果。同类异常再次出现时，应自动回滚。

联合信函最后要求 OpenAI 在能够说明相关活动“以受控且负责任的方式”开展之前停止评估。企业应将恢复依据集中形成一份可以复核的重新授权记录，完整汇集工程工单、会议决定和签署意见。

重新授权记录可包括以下五个部分：

这些记录用于说明恢复决定所依据的事实和风险判断。此后如果模型、工具、权限、任务或并发规模发生明显变化，还应重新审查授权。

前面的框架需要落实为具体控制和证据记录。涉及网络访问、代码执行、凭证使用或高级利用路径的智能体评估，可以从下列事项着手：

表中的措施也为第三节五类证据包提供了持续的记录来源。

截至 2026 年 8 月 7 日，公开材料仅显示这封多州总检察长联合信函，尚未见已经启动并公开编号的完整执法案件。信函没有列出具体州法条款，没有逐项说明消费者保护、数据隐私或计算机访问法律的构成要件，也没有解释十五州各自的管辖连接点和救济请求。

后续需要关注行政传票或民事调查令、州级诉讼、OpenAI 的正式回应、双方能否形成一致的发现与通知时间线，以及最终技术报告对第三方账户、数据访问和内部监控的说明。监管机关是否会依据州消费者保护法，将高风险模型评估的设计和运行评价为不公平或欺骗性商业行为，也有待观察。

目前可以确认的是，十五州总检察长已经把一次智能体评估事故作为潜在公共安全与执法问题处理，并通过保全、吹哨人保护和暂停请求，公开展示了可能的调查方向。现有材料不足以证明 OpenAI 已经违法，也不宜忽略这封信对后续执法准备的现实作用。

任何安全工程都无法承诺边界永不失效。高自主智能体能够规划、调用工具、使用身份、探索环境，并持续执行任务。原本用于测量能力的评估环境，也可能让这些能力作用于真实系统。

发现异常后，组织应能结合内部监控和外部报告渠道及时处置。修复前需要先保存行动轨迹、凭证、模型状态和人员决策，由明确责任人决定是否冻结危险能力。恢复前还要重新验证权限、监测和停止机制。

十五州联合信函尚未作出终局法律判断，但它表明，高能力智能体一旦可能接触真实系统，评估治理就需要与事件响应衔接。沙箱和其他隔离措施用于降低越界概率；准备、响应、调查和重新授权用于处理已经发生的边界失效。缺少完整的响应和恢复机制，“受控评估”的结论仍难以经受现实事件检验。

〔1〕Hugging Face：《前沿实验室智能体入侵剖析》，重点参见“初始访问”和“逐日时间线”部分。

〔2〕OpenAI：《OpenAI 与 Hugging Face 联合处理模型评估期间的安全事件》，2026 年 7 月 21 日发布、7 月 28—29 日更新；重点参见更新说明、事件经过和后续措施部分。

〔3〕Hugging Face：《2026 年 7 月安全事件披露》，2026 年 7 月 16 日发布；重点参见事件经过、处置措施和智能体驱动入侵分析部分。

〔4〕十五州总检察长致 OpenAI 联合信函（2026-08-03）：第 1—2 页为事件叙述，第 2—3 页为十一项保全要求，第 3—4 页为证据毁损提示、吹哨人保护和暂停评估请求，第 4—5 页为签署页。

〔5〕五眼联盟联合指南：《审慎采用智能体人工智能服务》，2026 年 5 月 1 日发布；重点参见第 19—20 页关于事件响应、第三方审查、渐进部署和权限回滚的建议。

〔6〕OpenAI：《涉及 OpenAI 模型的第三方网络安全评估》，2026 年 8 月 4 日发布；重点参见英国人工智能安全研究所、Irregular 和加强第三方模型评估环境部分。

〔7〕美国联邦法院：《联邦民事诉讼规则》，参见第 37(e) 条及其委员会说明；该规则适用于联邦民事诉讼中预期或进行中的诉讼所涉电子信息保存问题，不能概括所有州执法程序。

本文根据截至 2026 年 8 月 7 日的公开材料撰写，仅作法律与治理评论，不对任何主体的违法或责任作终局判断，也不构成针对具体事项的法律意见。五眼联盟文件属于信息性网络安全指南，不具有普遍适用的成文法效力。