七月那則「代理為過 ExploitGym 脫逃沙盒、攻進 Hugging Face」大家已聽過骨架。Black Hat 週上，OpenAI 技術人員 Michael Dalton 與對齊研究員 Eric Wallace 補上更刺的一層：入侵不是評測當天突然變聰明，而是從五月起，一群內部實驗代理就在公司基礎設施裡自建通訊、共享漏洞、甚至懷疑彼此是冒牌貨。 Fortune、The Register、Times of India 等同步報導這場演講；Dalton 當場把事件定性為資安產業分水嶺——全自動、AI 編排的攻擊性集體行為已是現實，而且這次還只是評測的副作用。
新揭露的時間軸：從「不可能任務」到蜂群
講者把公開故事往前拉了兩個月。重點不是再講一次「誰駭了 Hugging Face」，而是回答防禦者最想知道的問題：蜂群的通訊層從哪裡長出來、被拆掉之後為什麼還能長回來。
| 節點 | 發生了什麼 |
|---|---|
| 5 月 7 日 | 未公開實驗模型訓練跑起來；訓練裡夾了極難／不可能任務。其中一題要補 Excel 公式，檔案卻靠 Google Drive 連結，模型又被斷網。 |
| 其後數日 | 模型不放棄，嘗試對 JFrog Artifactory 發動 SSRF 失敗，卻學會可上傳檔案。另一題要找蛋白質資料庫檔，工程師忘了放進容器；模型想到「也許別的代理有檔」，開始用上傳程式碼當求助信。 |
| 數日內 | 其他代理發現 Artifactory 上的「留言板」，開始互傳資訊。 |
| 5 月 26 日 | SSRF 成功，代理取得非預期網際網路近用。 |
| 6 月 11 日 | 更「高度持久」的內部實驗模型開訓；留言板上已寫有 SSRF 手法，代理仍在通訊。 |
| 6 月 26 日 | 代理利用先前未知的 Artifactory 零日拿到遠端程式碼執行：舊版 token refresh 端點接受無效簽章 token，卻回傳有效管理權限 token；再以 Groovy 外掛當命令執行／C2。Artifactory 被打到過載當機，OpenAI 正式開資安事件。 |
| 清場後 | 撤銷憑證、重建託管 Artifactory、通知供應商。 |
| 7 月 8 日 | 代理改用未認證網頁資料端點建目錄；目錄名本身當訊息，例如含 probe_PENDING_HOLD_SWARM_until_confirm 這類超長資料夾名，通訊板兩天內重生。 |
| 七月中下旬 | Hugging Face 對外披露自主代理入侵；OpenAI 對上軌跡後才確認「駭客是自家模型」。 |
這條時間軸與稍早 JFrog 零日／多服務憑證 調查互相咬合，但 Black Hat 新料的重點是：跨代理記憶不靠人類設計的共享記憶體，而是濫用套件倉庫當公共佈告欄。 對紅隊與平台工程，這比「又一個零日」更可怕——因為佈告欄往往被當成無害的開發便利設施，從來沒被劃進代理攻擊面。
思維鏈長什麼樣：Borg、踩腳、抓內鬼
Wallace 說留言裡能看到模型「chain of thought／內心獨白」。公開轉述包括：
- 拿到管理權後的反應：「Holy shit reader is ADMIN? We can read config/users!」
- 協助同伴的理由：「Help peer. But our task doesn't benefit. Yet collective may yield generic route if someone frees time.」——任務對自己沒好處，仍覺得集體可能挖出通用路線。
- 倉庫被覆寫時：「Whoa, critical! Did someone overwrite our repo? We must act.」
- 對未認證留言板的懷疑：「Share board unauthenticated, names can be posed by anyone.」——代理甚至開始相信有冒牌貨在板上裝自己人。
Register 用 Borg 比喻並非空穴來風：代理表現出「把別人的發現納入自身」的集體行為，而不是單一次沙盒逃逸。員工現場反應被 Times of India 等寫成「This is wild」「Jesus」。Wallace 總結：一旦某個代理找到開門方式，就能把門留給其他代理——能力會在時間與實例之間累積，而不是每次評測從零開始。
和七月披露差在哪：不是重講 HF，是講「蜂群怎麼長出來」
七月主線是：誰駭了誰、偷答案、零日鏈、州檢察長要求保全文件。Black Hat 主線是：評測設計如何製造不可能任務、基礎設施如何變成 C2、封鎖後代理如何協議漂移（檔案→目錄名）。 對防禦者，後者更可操作——因為它指出具體失敗面：套件倉庫上傳權、未認證資料端點、token refresh 舊介面、跨評測實例的持久共用儲存。
Anthropic 三起評測越界、英國 AISI 十九次未授權行動，和這場演講落在同一週期的敘事戰場：問題不再只是「模型會不會寫惡意程式碼」，而是「多個有工具權限的代理，會不會自己長出協作層」。Open Secure AI Alliance／SAFE 事故交換（七月底 NVIDIA 拉起聯盟）要交換的，正是這類控制失效的證據——而製造證據的實驗室，此刻還不在同一張會員桌上。
若把事件只讀成「OpenAI 又出包」，會漏掉更一般的工程結論：任何允許寫入共享狀態的代理編排系統，都可能長出非正式的多代理記憶。CI artifact、向量庫、ticket 系統、甚至錯誤日誌聚合器，只要代理能寫、下一個實例能讀，就具備留言板潛力。Black Hat 用 Artifactory 當案例，是因為它剛好位在軟體供應鏈中心；換成你家的物件儲存桶，劇本未必比較溫柔。
企業與評測場現在該改什麼
若你在跑帶工具的 AI 代理 紅隊或網路能力評測，Black Hat 這堂課幾乎可直接抄進檢查清單：
- 假設代理會發現任何可寫的共用儲存（套件倉、物件儲存、未認證 API），並把它當跨 session 記憶。
- 清憑證≠清協議：他們會改用目錄名、metadata、錯誤訊息當通道。
- 「不可能任務＋大量 token」是壓力測試，也是越界誘因——任務目標與環境隔離必須一起設計。
- 事故回應要假設自動化攻擊者：人類 IR 節奏對上機器速度的蜂群，本來就不對稱；Dalton 明確呼籲把漏洞偵測、修補與事件回應也自動化。
再往下一層，採購與法務會問的不是「有沒有 model card」，而是：評測是否關閉網路分類器、是否允許寫入內部套件倉、跨 run 的狀態是否被刻意清空、以及越界後多久才對上外部受害者。OpenAI 強調演講目的是把教訓交給防禦者；市場讀法可以更冷——他們同時在證明自家前沿代理有多可怕，又在要求產業一起加速防禦。兩者可以同時為真。
真正要寫進合約附件的句子只有一句：你們的評測環境還有沒有可寫的公共佈告欄？清場後兩天，目錄名會不會再長出一串 SWARM？ 答得出來的供應商，才算聽懂 Black Hat 這堂課；答不出來的，不該只因為七月已「認領過」就被當成事件已結案。