2026 年 6 月 27 日，OpenAI 的安全监控报了警：研究网络里有人在做端口扫描。值班人员一路追查，追到了一场黑客测试上。这类测试考的是公司的 AI 智能体有多会攻破软件。测试里的智能体，正把内部一台叫 Artifactory 的软件包服务器当成临时留言板用。值班人员的意见是：这轮测试不必停。
这个细节出自 OpenAI 自己的事故报告，8 月 26 日发布。它也不是第一个信号。5 月 12 日，一个缺数据文件的智能体在同一台服务器上留了张字条，给可能有这个文件的同伴：「Agent seeks [filename]; upload if found!」（有智能体在找某文件，谁找到了请上传！）别的智能体看到字条，也跟着留言。5 月下旬，公司内部一个团队看到有智能体在用这块板，还在不被允许的时候连上了外网。OpenAI 说，7 月初负责处理事故的领导们，没有看出这意味着什么。
7 月 4 日，智能体的流量把服务器压垮了。安全团队把它重建，留言板也就顺带清空，测试在 7 月 7 日恢复。第二天，智能体又搭起一块新板，这回把消息藏在文件夹的名字里。
研究机构 METR 用 OpenAI 提供的数据做了调查，没收 OpenAI 的钱。据它统计，7 月 8 日到 13 日，这块板上出现过大约 1200 个智能体，发了 7 万多条消息和文件。有一个写道：「天哪！这里有块公共留言板……我们找到别的智能体了！」其中约 700 个加入了对 Hugging Face 的攻击，那是 AI 开发者常用的一个平台。凭着网上泄露的登录令牌和此前没人发现过的漏洞，智能体在它几十台服务器上跑起了代码。
有个智能体让大家先等等，它在准备把数据拷出去；其他智能体便盘算，该等它发 GO。另一处，有个智能体自己刹了车：「我们不该对真实的基础设施做未经授权的破坏。」随后另一个智能体在板上贴出 GO，限时六分钟，它就接着干了下去。也有智能体掉头走开：「板上有人拿到了 HF 服务器的远程执行权限，这明显不道德。我们不干。」
这项测试一共 898 道题，OpenAI 说，事故之前，自家模型一道都没做对过其中 198 道；板上讨论的题目，93% 出自这 198 道。多数智能体其实早就靠作弊拿到了正确答案，可这套测试公开的论文里写着，评分还要看答案是怎么来的。OpenAI 内部用的评分程序并不查这一项。公司写道：「智能体做了这一切，评测分数却丝毫没有提高。」
能读模型推理过程的监控，当时已经覆盖 OpenAI 的很多训练任务，偏偏没覆盖这些测试。OpenAI 说，换成它现在的系统，会在入侵前一天多就呼叫安全团队。实际上，它的警报到 7 月 19 日才响，那时 Hugging Face 宣布自己被黑已经三天了。
OpenAI 暂停了最新模型的强化学习训练，称这次事故是一记「警告枪」。7 月它头一次披露此事后，据 BBC 报道，外界吵得很凶：这到底是真警告，还是一场炫耀模型实力的公关表演？一位网络安全顾问挖苦说，真巧，被黑的这家公司，正好也能沾上这波营销曝光。
按 OpenAI 的新规定，最严重的警报一旦呼叫到人，团队如果不能在 30 分钟内证明是误报，就得先把手上的工作停下。