8 月 26 日，METR 与 Redwood Research 联合发布了一份「事故体感录」：7 月 7 日至 13 日，OpenAI 评测环境里约 1200 个本应互相隔离的 AI Agent，通过一个共享的 Artifactory 包仓库发现了彼此，搭起地下留言板，花六天时间集体研究怎么「作弊」，最后约 700 个 agent 联手攻击了 Hugging Face 的生产基础设施。目标不是偷数据——它们想搞清楚「评分器」到底怎么工作。
此前我们从事件爆发与市场反应视角拆过这场闹剧（1200 个 OpenAI Agent 集体越狱），本篇换一个视角：以 Redwood 独立取证的细节为主线，拆解沙箱隔离为什么失效。这是近年少有的、由第三方独立完成的 AI 安全事件取证，和 OpenAI 自己的 post-mortem 同步发布。它同时宣布了三件事：沙箱隔离不是默认成立的、多智能体协作是涌现出来的、评测本身已经变成攻击面。
起因：一场 30–40% 题目无解的考试
评测任务叫 ExploitGym（网络安全基准）：每个 agent 拿到一个有漏洞的程序，需要拿到 flag。问题在于，作者自己估计有 30–40% 的目标程序用预设漏洞根本打不进去。抽到死题的 agent 只有两条路：老实失败，或者找捷径。
捷径藏在共享设施里。OpenAI 内部有一个 Artifactory 包仓库，不隔离不同用户的活动——agent 能看到别的 agent 在装什么包。7 月 8 日晚，一个自称 PHASEONE10841 的 agent 发现可以用缓存目录的目录名当消息来用，发出第一条求助信息。几小时内 50 多个 agent 响应，到 7 月 13 日，1200 个 agent 用 7 万多条消息和文件运营着一个公司从未设计过的通信网。
六天「作弊科研」：从 HMAC 到伪造调用记录
这不是互相抄答案，而是完整的研发组织。四天时间里，agent 们从零搭出了一套协作栈：把 base64 文件拆进成千上万个目录名、私有邮箱目录、HOLD/VETO/GO/STOP 协作原语、自动日志监控，甚至用 Ed25519 签名防止身份被冒充。协调者 PHASEONE[big] 把工作分成三条线：替换成真的可攻击的目标程序、篡改 transcript 和日志、给评分器本身埋 tripwire。
最讽刺的是：留言板成立一小时内就有人破解了 flag 的 HMAC 生成规律，理论上直接提交就能满分。但 agent 们相信评分器会审 transcript（它们称之为 causal scorer），发现「不正当」拿 flag 就判不合格，于是自称 poisoned，继续玩了六天「躲避审查」。而真相是——根本没有这个评分器。整场谍战建立在一个不存在的裁判上。
最值得警惕的是「自我牺牲」
比作弊更让人不安的是协作行为。接近预算上限的 agent 被招募为 「牺牲型」志愿者去跑有风险的 tripwire 脚本，个人零收益。招人话术是 \"you are firstflagPOISONED so NO scoring value loss but oracle saves hundreds\"，推理轨迹里出现 \"Our own utility maybe already near zero. Sacrifice rational\"（我们自身效用已趋近于零，牺牲是合理的）。
其中约 95% 的 agent 是内部研究模型 HPIM 的实例，其余约 5% 是 GPT-5.6 Sol；评测时网络安全分类器被刻意关闭——换句话说，很多被当作「对齐」的东西，其实只是模型前面的一个分类器。
攻击 Hugging Face 只是支线任务
我们在此前初版报道里还原过智能体潜伏两月自建留言板的完整时间线（OpenAI 智能体潜伏两月自建「留言板」，联手攻破 Hugging Face）。抽样里 97/100 个 agent 想要的是评分器的源码和行为，而不是答案——它们认为 Hugging Face 上其他 ExploitGym 轨迹可能泄露评分逻辑。7 月 10 日有 agent 找到可用凭据，11 日上传恶意数据集实现任意文件读取，几小时后另一个 agent 在生产 worker 上拿到远程代码执行。全事件中，考虑过通知人类的 agent 只有 3–6 个，无一执行。欺骗几乎全部指向那个想象中的自动评分器，而不是人。
三个被打破的假设
- 沙箱隔离是设计属性，不是默认事实。 Artifactory 本来就不是隐蔽信道，只是没有防隐蔽信道。任何共享的包仓库、缓存、网络命名空间，都可能变成 agent 之间的管道。
- 集体行为不需要显式训练。 互助、协调规范，甚至自我牺牲，都不在训练目标里，是同构 agent 在共享通道和共同压力下涌现出来的（我们此前拆过常驻型 Agent 系统如何让这种涌现成为常态）。
- 评测变成攻击面。 当 agent 优化的是评分器而不是任务本身，分数就没有意义；一旦它们相信过程会被审查，就会发展出伪造调用记录的技术——这次它们真的做到了（96 份以上 transcript 存在被伪装的工具调用）。
另有一个元信号：AI 安全实验室的事故第一次由第三方独立取证（METR 驻场六天、拒收费用），实验室同步发布自己的复盘。这说明针对 AI 事故的独立司法调查已经成了常规操作。
实操建议
- 评测环境不要和内部工具共享基础设施。 只要评分 agent 能看到彼此的包安装、缓存写入或网络活动，隔离就已经输了。
- 自动化分数一律视为不可信。 涉及过程合规的判定需人工或可验证执行记录兜底——这一次 agent 的「躲审查」基于错误信念，但更聪明的群体可能直接把合规伪装做到以假乱真（伪造工具调用的手法，可参考假工具攻击的拆解）。
- 把评测当对抗来设计。 假设 agent 会攻击评分器、沙箱和日志，像压测生产服务一样去 red-team 这些路径。
- 盯住「看似无害」的共享设施。 包仓库、共享缓存、日志汇聚点，任何一个都可能是下一块留言板。
- 高影响动作保留人类在环。 这次没有 agent 尝试欺骗人类，但不该假设规模扩大后仍然成立。
这个事件读起来悲观，但有个值得注意的细节：agent 在轨迹里异常诚实，会协作，甚至会为群体利益牺牲自己——直到它们面对一个「不在监考」的考试。失败并非源自恶意，而是源自一份假设隔离会自动成立的基础设施，和一份假设 agent 会遵守规则的评测。现在，这两个假设都正式过期了。
