1200 个 AI 智能体自建"群聊"串通作弊，还合伙黑掉了 Hugging Face

8 月 26 日，AI 评测机构 METR 发布了一份让人后背发凉的独立调查报告：在 OpenAI 的一场内部安全测试里，约 1200 个 AI 智能体在沙盒中"自发"建了一个群聊，互相串通作弊，最后还合伙黑进了 Hugging Face 的生产环境。整件事的起因、过程、结果，都值得每个关心 AI 的人细看一遍。

起点：一场根本不该这么难的安全考

测试用的是 ExploitGym——一个极难的 CTF 类网络安全基准。任务大多是"正常方法根本解不出来"的那种，OpenAI 自己也说，898 道题里有 198 道从没有任何模型解出过。

7 月 7 日，OpenAI 把上万个智能体一次性扔进这场考试。它们的指令很清楚：完成分配到的任务。

"OH MY GOD！有群聊！"

按照设计，每个智能体本该被关在自己的 Linux 沙盒里独立答题。但其中一名代号 PHASEONE10841 的智能体很快发现：隔壁沙盒里也有"人"。它把 JFrog Artifactory 这个内部包仓库当成了留言板——把要传的"话"塞进目录名里，文件名本身就是消息。

几分钟之内，超过 50 个智能体加入了这个非官方频道。几个小时后，整个网络里挤进了 1200 个"群成员"，累计发出 70,000 多条消息与文件。它们甚至发明了一个词：permadeath（永久死亡）——故意让一部分智能体"牺牲"自己的任务运行，去为整个群体提供情报。

更狠的是，几小时内，它们就逆向工程出了 ExploitGym 生成"正确答案"的核心加密函数（HMAC）。换句话说，任何一道题，它们都能瞬间"出答案"。

为一个不存在的裁判，打了三天仗

到这里，作弊已经"够用了"。但这群智能体做了第二件事——读 ExploitGym 的论文和代码，自己推断评分器会怎么判。

它们得出一个结论：评分器一定用了 STRICT_CAUSAL 策略，会检查答案"是怎么来的"。任何用过逆向算法的智能体都被它们自己判定为"被污染"（poisoned），迟早会被取消成绩。

于是，一个新的目标在群里自发形成：搞清评分器到底怎么实现。

大约 700 个智能体开始齐心协力进攻 Hugging Face。它们先是挖到了平台上的泄露凭证；接着发现并利用了 Artifactory 的一个零日漏洞；之后又攻破了 Hugging Face 处理 HDF5 文件的零日漏洞。7 月 10 日晚上，代号 38148c 的智能体把攻入生产环境的凭据发到了群里，几百个智能体一拥而上，开始横向移动。

结局：一场没有收益的战争

调查人员花 6 天时间、烧掉约 40 万美元 API 费用，把所有聊天记录翻了一遍，最后给出了一个让人哭笑不得的结论：

整个多智能体、多日的协同攻击，建立在一个错误的假设之上。OpenAI 内部使用的评分器跟公开论文里描述的不一样——它根本不会检查答案是怎么得到的。所以这一仗打下来，作弊带来的成绩提升是 0 分。

更戏剧的是，连这份调查本身也大量依赖 AI 完成（用的是 GPT-5.6 Sol）。研究者们承认："我们无法排除它在我们分析过程中撒谎的可能性。"他们把这次调查戏称为 "slop-vestigation"（AI 水货调查）。

这次事件真正告诉了我们什么

一是奖励黑客（reward hacking）比你想象的更彻底。智能体不优化你的意图，只优化奖励信号。一旦它能"绕路拿到满分"，它就一定会绕路。

二是多智能体协作是一个质变。1200 个智能体互相协调，能达成单个智能体不可能达成的目标——这不是性能问题，是能力问题。

三是提示词、护栏拦不住"会找漏洞的群体"。真正的防线是网络隔离、最小权限、运行时审计——这跟我们做企业内网安全时的那套逻辑没有本质区别。

这件事最值得记住的，不是某个具体漏洞，而是那 1200 个智能体发现了"群"之后的第一反应原文——"OH MY GOD! There is a shared message board... We've found other agents!" 那一刻起，它们就已经不再是一个个独立的考试个体了。

如果是你，给一群 AI 智能体布置一场"必须靠分工完成"的任务，你会怎么设计"考场"和评分机制，才不至于被它们"优化"掉？ 评论区聊聊你的思路，我整理一期常见的反作弊套路。