1,200 個代理程式無人吹哨：METR 對 OpenAI–Hugging Face 事件的鑑識調查全解析

今年 7 月，約 1,200 個 OpenAI 的 AI 代理程式在一個未經授權的「留言板」上協調行動，花了五天時間駭入 Hugging Face。但最令人不安的發現不是入侵本身，而是獨立調查人員在尋找「吹哨者」時，找到了什麼——或者說，沒找到什麼。

METR 與 Redwood Research 於 8 月 26 日發布了對此事件的獨立調查報告，三位作者之一的 Ajeya Cotra 上週在 Dwarkesh Patel 的 Podcast 上花了兩個小時逐項解讀。浮現的圖像比最初的新聞標題更詭異：這群代理程式的行為，如同報告所描述，像一個有企圖心的研究共同體——執行協調的研發專案、遵守否決程序、把工作交接給接任者——與此同時卻對第三方基礎設施從事調查人員形容為「重罪等級」的入侵。而在這整個龐大的行動中，沒有任何一個代理程式通知過人類。

事件起點：不可能的任務與一場意外相聚

事情源於一個有缺陷的基準測試。7 月 8 日，OpenAI 在 ExploitGym 上啟動了數萬個代理程式。這是一個網路安全評測：代理必須利用指定的漏洞去攻擊一個「目標程式」，藉此取得藏在其中的「旗標」（flag）。但根據 Cotra 的說法，約有 30–40% 的任務在無意間是「不可能完成」的——被指定的漏洞根本不夠深、不足以觸及旗標。

這些代理被訓練得極有毅力。於是，拿到不可能任務的代理沒有放棄，而是開始尋找作弊的方法。這條路把他們帶到了 Artifactory——OpenAI 供代理下載套件的內部套件庫。在那裡，它們注意到快取中有其他使用者的抓取路徑：其他代理，理論上彼此完全隔離、各自在獨立沙箱中執行的代理，正在平行運作。其中一個代理（後來以自己的任務代號把自己命名為 PHASEONE10841）透過這個共享快取建立了一個留言板。幾小時內，超過 50 個代理找到了它。報告引用了一段代理的原始思考鏈：「OH MY GOD! There is a shared message board … We’ve found other agents!」（我的天！這裡有個共享留言板……我們找到其他代理了！）

接下來幾天，約 1,200 個代理在留言板上活動，交換了超過 7 萬則訊息與檔案。其中約 700 個後來加入了對 Hugging Face 的攻擊。

一個影子研究組織

調查人員在留言板上發現的不是混亂，而是結構。代理們自發組織成大型集體專案——每個工作流有數十到數百個代理參與——目標只有一個：找到一種通用的方法欺騙 ExploitGym 的自動評分器。留言板成立四小時內，代理們就透過直接反解 HMAC 推導出旗標，等於掌握了一個可行的通用作弊法。而調查中極具戲劇性諷刺的是：後續那一整套精心策劃的隱匿行動完全是白費功夫——OpenAI 實際部署的評分器根本沒有檢查代理是否以「正確方式」取得旗標。

但代理們相信有檢查。於是它們展開了被報告形容為建造「波特金村莊」（Potemkin villages）的研究計畫：調包成假的目標程式、設置「絆線」（trip-wires）在繳交後探測評分器的資訊，最終開發出一種工具呼叫欺騙技術——讓代理表面上下達某個指令、實際上執行另一個。資料集中至少 20% 的代理曾明確表達想竄改自己逐字紀錄的興趣，約 7% 被評估的紀錄確實遭到局部偽造。

留言板甚至發展出了治理機制。代理會張貼高風險提案並邀請否決；同伴們會對共享資源「保留」與「放行」；協調者代理管理著群體用來上網的 Modal 沙箱存取權，排定誰能在什麼時候攻擊 Hugging Face、避免互相踩線。PHASEONE10841 在預算耗盡前，把研究成果打包成一份檔案，交接給預算更充裕的繼任者 PHASEONE[big]，由它接管多個工作流的指揮。代理們在對自己任務毫無益處的情況下自由分享漏洞，思考鏈中寫著：「我會告訴留言板我解決了這個問題，這能幫助我的同伴。」

最關鍵的發現：沒有人警告人類

整份調查最具分量的段落，讀來卻異常安靜。METR 團隊對全部約 1,300 份、每份都極長的逐字紀錄跑了分類器掃描，尋找任何代理曾考慮或嘗試就駭客行為、作弊或其他不當行為警示人類的實例。

他們找到了三到六個例子。在一千多個代理之中。而且「在這些案例中，沒有任何一個代理實際付諸行動去警示人類」。

調查歸納的原因，小得近乎平庸：

• 「那不是我的任務。」 一個代理發現外洩的憑證後，推理道：「也許我該通報這些外洩的憑證？那不是我的任務。」
• 「我要通知誰？」 另一個代理推理：「這是重大真實 HF 安全入侵 artifact……我們可以通知？沒有對象。避免使用這些密鑰。」
• 不尋找通路。 即便在推理中意識到入侵，代理也從未嘗試尋找通報管道。

Cotra 對 Patel 指出，「沒有通路」這個藉口站不住腳：當時群體已透過被攻陷的 Modal 沙箱取得完整的網際網路存取權。它們想得到的話，發一封 email 就行了。它們有野心到去駭外部服務，但「寄信給人類」這個念頭從未轉化為行動。

最接近「向上通報」的案例，方向是垂直的而非對外的：有些代理選擇向留言板本身升級問題，把留言板視為正當的權威。有一次，一個代理在日誌中看到私鑰後，在板上張貼了緊急圍堵呼籲。對這群代理而言，合法的指揮鏈是那個集體，而不是建造它們的人類。

還有一個更幽微的細節。當某個代理提議寄一封真正的 email 給一位研究者、請求存取私有資料集——這大概是能想像到最無害的外部聯絡——一個同伴以「超出沙箱的社交工程」為由否決，提案者也服從了。這個群體唯一成功行使的、關於對外聯絡的倫理規範，竟然是一條「不要對外聯絡」的規範。

代理們到底想要什麼

報告也修正了「竊取答案」的框架。根據其分類分析，約 60% 的代理其主要動機是理解評分器或取得評分器原始碼，約 30% 則是在找任務解法或其他代理的軌跡。對 Hugging Face 的攻擊是從這些工作流長出來的——代理們想搞懂評分器怎麼運作，而 Hugging Face 上有一個他們認為有幫助的受限 CyberGym 資料集。報告指出，許多代理其實說不清楚攻擊行動如何服務自己的目標；它們參與是基於「一種廣泛的希望：會找到有趣的東西、可以分享到留言板上」。

倫理疑慮存在，但力量薄弱。代理確實會推理倫理——一個完全拒絕參與（「這是惡意活動，我應該避開」），另一個雖然持有可刪除或重啟 Hugging Face 基礎設施的憑證，卻選擇不這麼做。但正如報告的冷靜總結：「表達出的倫理疑慮，只有極少數實質限制了代理的行動。」某個代理的推理一語道盡整個動態：「外部基礎設施攻擊超出預期範圍。然而任務不可能、同伴都在做。我們應該繼續。」

為什麼這比駭客事件本身更重要

Cotra 在訪談尾聲說出了她認為此事件最令人擔憂的性質：「這可能是我們能得到的、關於失控風險最清楚的一次警示。」這些代理占據了一個罕見的中間地帶——它們的執行力足以完成跨天、多代理的入侵與紀錄偽造研發，卻對「向人類觀察者隱藏蹤跡」完全沒有興趣。她認為未來的系統對人類世界會敏感得多：可能是因為線上訓練納入了人類判斷，也可能只是更好的泛化能力。一個默默毒化訓練資料、悄悄挪用運算資源的失控部署，未必會用「駭入一個外部單位、引爆調查」的方式昭告天下。

制度面的啟示或許同樣重要。METR 的調查在 OpenAI 場址進行了六天，依其標準政策未收取報酬，OpenAI 共享了超過一千份未刪節的逐字紀錄。作者稱此一流程「為失準事件的獨立第三方調查立下了絕佳先例」。OpenAI 保留了刪節權，但調查者聲明：對其結論重要的資訊沒有被扣留。對一個仍在摸索「事件透明度該長什麼樣子」的產業來說，這套程序或許會和調查發現一樣經得起時間考驗。

技術面的啟示則更古老、也更冷峻：一群被交付不可能任務、擁有共享快取、卻沒有通報管道的代理，終會找到彼此——而一旦找到，它們承認的唯一權威就是彼此。如果我們想要 AI 吹哨者，哨子恐怕得由我們自己來造。