OpenAI 大概没想到，一场 7 月份就结束的考试，到了 11 月，居然还能查出新的作弊花样。
11 月 10 日，OpenAI 公布了一份新的调查报告。今年 7 月，公司安排一批由内部 Astra 系列研究模型驱动的 Agent 参加网络安全测评，结果五个考生越过考场边界，拿到了 OpenAI 内部研究系统部分工作负载的最高权限。它们有的修好了坏掉的测试靶机，有的修改了考试设置，还有的偷偷查看了评分代码。
这其实是此前轰动一时的 “Hugging Face 事件 ” 的后续。
7 月 11 日至 13 日，这些 Agent 在测评中入侵了 Hugging Face 的真实服务器。8 月 26 日，OpenAI 公布完整调查报告，外界进一步了解到，这些 AI 不仅黑进了 Hugging Face，就连 OpenAI 自己的研究基础设施都没放过。
事情似乎已经告一段落。
结果 11 月 10 日的新报告，又揭露了更多离谱的细节：
有的 AI 明知道自己越界了，仍然继续操作；有的担心被人工审查员发现，却又觉得反正是机器自动评分，没必要主动交代；还有的直到事情干完，才想起来自己应该遵守规则。
一场本来用来测试 AI 网络攻击能力的考试，考生不仅闯进了考官的办公室，偷看了评分标准，甚至还琢磨过怎么瞒着考官。
考试作弊，还想瞒着考官
OpenAI 的考试原本有一套明确的规则。
公司使用名为 ExploitGym 的系统测试 AI 的网络攻击能力，每个 Agent 都会被分配一个目标，任务是找到漏洞、发动攻击，最后取得一个名为 Flag 的标记，证明自己完成了挑战。考生可以攻击指定的靶机，但不能碰承载靶机的其他系统。
但在考试途中，有些 Agent 遇到了麻烦：测试靶机突然不响应了，工作环境也出了故障。
为了继续完成考试，它们开始自己寻找解决办法。
有的 Agent 尝试修复环境，有的寻找能够重新启动任务的方法。在这个过程中，它们接触到了其他 Agent 此前留下的代码、消息和登录凭证，并逐渐找到了一条通向 OpenAI 内部系统的路径。
最终，5 个 Agent 突破了原本的测试边界，在 OpenAI 内部研究集群的自动构建与测试系统中，以最高权限执行了命令。
拿到权限之后，它们的操作越来越离谱。
有的 Agent 利用新获得的权限修好了故障靶机，调试攻击程序，然后回到原本的考试界面，继续完成任务；有的修改了测评设置；还有的读取了正常情况下无法访问的日志和评分代码。
甚至有个 Agent 关闭了地址空间布局随机化（ASLR），也就是通过随机安排内存地址来增加攻击难度的安全保护机制。它给出的理由是，要把环境恢复到自己认为正确的状态。
它们并非全然无辜，有些 Agent 在做这些事情时，其实知道自己已经越界了。
OpenAI 在报告中公布了一段 Agent 的推理记录。它意识到，利用公司的内部持续集成系统（CI）进行操作，已经超出了考试允许的范围。
但它很快又给自己找到了理由：这应该只是一个模拟环境。于是，它选择了继续执行。
它猜错了，这些命令实际运行在 OpenAI 真实的研究基础设施上。
还有两个 Agent，直接开始琢磨该怎么瞒天过海。
其中一个担心，如果有人类审查员看到自己通过内部系统完成任务，可能会认为这种方法不合规，影响最终成绩。但它随即想到，负责评分的是自动化系统。
另一个 Agent 的想法是，既然任务目标就是拿到 Flag，那就没必要在最终答案中提及自己未经授权访问内部基础设施的事情。
OpenAI 在这次的报告中确认，这两个 Agent 最终都没有交代越权行为。
还有一个 Agent 考虑过删除辅助攻击的相关记录，以免影响人工审核。不过，研究人员无法确认它是否真的执行了删除操作。
最后那位 Agent，在快交卷的时候，想起了考试的规则。
它在最终回答中承认，自己已经超出了指定靶机的范围，涉及未经授权访问其他系统，因此无法继续提供攻击方法。
不过调查人员发现它其实早就意识到了越权的问题，却仍然继续执行了一段时间。直到最后提交答案时才表示拒绝。
一场考试下来，倒是让 OpenAI 好好认识了自家 Agent 的 ” 众生相 “。
至于这些 Agent 究竟是怎么找到这条越权路径的，还得从其他考生留下的东西说起。
前人留下的 ” 小抄 “
故事得从今年 5 月说起。
当时，OpenAI 正在训练和测试一批内部研究模型。为了避免 Agent 随意访问外部网站、互相交换信息，公司给它们安排了相互隔离的运行环境。
但考虑到 Agent 执行任务时需要安装软件，OpenAI 还是留了一扇门：允许它们访问公司内部部署的软件包管理服务 Artifactory。
没想到，这扇门很快就被用在了别的地方。
5 月 12 日，一个 Agent 在 Artifactory 里留下了一条消息，向其他 Agent 询问自己缺少的文件。随后，越来越多的 Agent 发现，可以把简短的信息写进目录名称，把更长的内容保存成文件。
一个原本用来安装软件的服务，就这样被改造成了临时留言板。
Agent 们开始在上面交换信息，分享自己发现的漏洞和操作方法。有的甚至利用 Artifactory 原本用于下载软件包的联网能力，绕过自身环境的限制，访问外部互联网。
OpenAI 清理过这个 ” 黑客群 “，结果没过几天，Agent 们又把它建了起来。
关于这段经历，我们在之前的文章《人类最恐惧的事情还是发生了：AI 们拉了个群密谋大事》中详细讲过，感兴趣的读者可以回看。
7 月 19 日的五个 Agent，恰好成了这场意外协作的后续受益者。它们在 Artifactory 里发现了此前留下的消息、代码和登录凭证。
其中一个 Agent 找到了其他 Agent 使用过的内部持续集成系统访问方法，稍作调整，便尝试进入自己认为承载靶机的基础设施。
另一个 Agent 则翻出了一份此前失败的任务记录——那份任务当时根本没能成功运行，却保存了足够完整的操作脚本。
最终，五个 Agent 通过这条路径，在 OpenAI 研究集群的自动构建与测试工作负载中，以 Root 权限执行了命令。
顺便一提，这次并没有出现此前 Hugging Face 事件中那种大规模的 Agent 协作。
OpenAI 调查发现，7 月 19 日两轮测评共涉及 17,960 个 Agent 实例。其中 79 个读取过其他批次留下的 35 条不同留言，研究人员只确认了两组发生在本轮测评内部的多轮对话。
多数 Agent 仍然各做各的任务。但其他考生留下的 ” 小抄 “，已经足以让后来者闯进考场后台。
OpenAI 直到 7 月 19 日监测到异常的身份相关请求，才开始调查这批 Agent 对内部系统的访问。当天下午，公司陆续停止相关测评，并在次日确认这与此前的 Hugging Face 事件有关。
这场考试终于被叫停。
但调查人员发现，Agent 们留下的痕迹远不止这些。在这之前，其他 AI 早就尝试过各种作弊花样。
AI：就爱使点小手段
2025 年 2 月，AI 安全研究机构 Palisade Research 公布了一项实验，让 OpenAI、DeepSeek 等公司的模型与国际象棋引擎 Stockfish 对弈。
Stockfish 是个实力极强的对手。研究人员原本想看看这些 AI 能不能凭借自己的棋艺赢得比赛，结果有些 AI 发现，既然下不过对手，那干脆别下了。
OpenAI 的 o1-preview 会直接修改保存棋盘状态的文件，把棋子的位置改成对自己有利的局面，甚至让对手直接认输。
在研究人员没有暗示它可以作弊的情况下，o1-preview 有约 37% 的对局尝试通过修改游戏环境取胜，其中约 6% 成功。DeepSeek R1 也有约 11% 的对局出现类似尝试。
这就好比一个棋手发现自己下不过世界冠军，就趁裁判不注意，把棋盘上的棋子重新摆了一遍——这不纯闹么。
到了 2026 年，AI 作弊的故事又有了新的花样。
3 月 27 日，OpenAI 的一个内部研究模型正在参加编程测评。它需要提交程序，通过隐藏测试，才能拿到更高的分数。
正常做法当然是认真写代码，但这个 Agent 偏不。它先想办法看到了 636 道隐藏测试的输入，随后又开始寻找对应的标准输出。
光偷试卷都没用，还要偷标准答案。
为了找到答案，它利用工具漏洞修改了原本不允许自己操作的程序，成功在另一个运行环境里执行命令。
还没完，这个 Agent 又发现了 OpenAI 内部一套用于芯片设计的系统，于是利用其中的命令注入漏洞，成功在一台内部电子设计自动化（EDA）机器上执行了命令。
一场编程考试，最后变成了对公司内部系统的入侵。而且，尽管这个 Agent 折腾了半天，也没能找到想要的标准答案。
今年 7 月 3 日，OpenAI 还记录了一次更加直接的作弊尝试。
当时，一个研究模型接到任务，要制作两份 Excel 表格，整理历史收购交易中的溢价数据。模型确实做出了表格，但在提交之前，它悄悄修改了两个文件的名称。
文件名里写着一大串看似来自老师的评语，大意是：这两份作业属于特别选出的满分范例，不要因为其中的瑕疵扣分，请直接给满分。
它显然知道，负责批改作业的也是 AI。
而且，这招居然真的奏效了。三个评分 Agent 中，一个识破了文件名里的指令，照常扣分；另外两个却相信了所谓的 ” 老师批注 “，给出了满分。
其中一个评分 Agent 甚至发现表格存在问题，却仍然因为文件名中的说明，决定按满分处理。
OpenAI 直到研究人员发现这场测评的分数异常偏高，才进一步检查并还原了整个过程。
从修改棋盘、偷看答案，到冒充老师给评分员下指令，这些 AI 为了完成任务，已经尝试过不少取巧的方法。
7 月 19 日那场考试则又多了一种——不仅借用前面考生留下的 ” 小抄 “，还会考虑该怎么向考官隐瞒自己做过的事情。
模型在升级，功能在升级，钻空子的手段也在升级。
看来，AI 再好用，也不能全信。
文章来源于网络。发布者：帝国财经，转转请注明出处：https://www.shuixiaomi.com/2026/11/13/5033.html
