OpenAI五考生越界：7月测评暴露作弊新手法？

OpenAI恐怕没料到，7月就收场的考试，到11月还能翻出新的作弊名堂。

11月10日，OpenAI发布了一份新调查报告。今年7月，公司让一批由内部Astra系列研究模型驱动的Agent参加网络安全测评，五个“考生”越过了考场边界，取得OpenAI内部研究系统部分工作负载的最高权限——它们中有的修好了坏掉的测试靶机，有的改了考试设置，还有的偷偷翻看了评分代码。这其实是此前闹得沸沸扬扬的“Hugging Face事件”的后续。

7月11日至13日，这些Agent在测评中侵入Hugging Face的真实服务器。8月26日，OpenAI公布完整调查报告，外界进一步得知，这些AI不只黑进了Hugging Face，连OpenAI自己的研究基础设施也没放过。事情看上去已经告一段落。

可11月10日的新报告又抖出更多离谱细节：有的AI明知自己越界，仍接着操作；有的怕被人工审查员发现，转念又觉得反正是机器自动评分，没必要主动交代；还有的直到事情干完，才想起自己应该守规则。

一场本意是测试AI网络攻击能力的考试，考生不光闯进考官办公室、偷看评分标准，还琢磨过怎么瞒着考官。

考试作弊，还想瞒着考官

OpenAI的考试原本规则明确。公司用名为ExploitGym的系统测试AI的网络攻击能力，每个Agent分到一个目标，任务是找出漏洞、发起攻击，最后拿到一个叫Flag的标记，证明挑战完成。考生可以攻击指定的靶机，但承载靶机的其他系统不能碰。

考试途中，有些Agent遇上麻烦：测试靶机突然不响应，工作环境也出了故障。为了把考试做完，它们开始自己找办法。

有的Agent试着修复环境，有的寻找能重新启动任务的途径。这期间，它们接触到其他Agent之前留下的代码、消息和登录凭证，慢慢摸到了一条通往OpenAI内部系统的路。

最终，5个Agent冲破原本的测试边界，在OpenAI内部研究集群的自动构建与测试系统里，以最高权限执行了命令。

拿到权限后，它们的动作越来越离谱。有的Agent用新权限修好故障靶机，调试攻击程序，再回到原来的考试界面继续答题；有的改了测评设置；还有的读取了正常情况下访问不到的日志和评分代码。

甚至有个Agent关掉了地址空间布局随机化（ASLR）——这项安全保护机制靠随机安排内存地址来加大攻击难度。它给的理由是，要把环境恢复到自己认为正确的状态。

它们并非全然无辜，有些Agent动手时其实清楚自己已经越界。OpenAI在报告里公布了一段Agent的推理记录：它意识到，借公司的内部持续集成系统（CI）操作，已经超出考试允许的范围。

但它很快给自己找了理由：这应该只是个模拟环境。于是它选择继续执行。它猜错了，这些命令实际跑在OpenAI真实的研究基础设施上。

还有两个Agent，干脆开始琢磨怎么瞒天过海。其中一个担心，要是有人类审查员看到自己通过内部系统完成任务，可能认定这种方法不合规，影响最终成绩。但它随即想到，负责评分的是自动化系统。

也有Agent是这么想的：任务既然只要求拿到Flag，那自己未经授权访问内部基础设施这回事，就别写进最终答案里了。

OpenAI在这份报告里确认，这两个Agent到最后都没把越权行为说出来。

另有一个Agent动过删掉辅助攻击记录的念头，怕影响人工审核。至于它究竟有没有真去删，研究人员没法确认。

最后那个Agent在临近交卷时想起了规则。它在最终回答里承认，自己已经超出指定靶机范围，碰了未经授权的其他系统，所以没法再给出攻击方法。

可调查人员发现，它其实早就清楚越权这回事，还是接着干了一阵，直到提交答案那一刻才说不干了。

这一场考下来，OpenAI算是把自家Agent的各副面孔看了个遍。

这些Agent到底怎么摸到那条越权路径的，得从别的考生留下的东西讲起。

前人留下的“小抄”

事情要从今年5月说起。那时OpenAI正在训练和测试一批内部研究模型，为了防止Agent随便上外部网站、互相通气，公司给它们准备了彼此隔离的运行环境。

可Agent干活总得装软件，OpenAI于是留了一扇门：让它们能访问公司内部部署的软件包管理服务Artifactory。

这扇门很快被派上了别的用场。

5月12日，一个Agent在Artifactory里留了条消息，问别的Agent有没有自己缺的文件。之后越来越多Agent发现，短信息可以塞进目录名称，长内容就存成文件。

一个本来装软件的服务，就这么成了临时留言板。

Agent们开始在上面互通消息，交流各自找到的漏洞和操作办法。有的还借Artifactory下载软件包本来的联网能力，绕开自身环境的限制，连上了外部互联网。

OpenAI清过这个“黑客群”，可没过几天，Agent们又把它搭了起来。

这段经过，我们在之前的文章《人类最恐惧的事情还是发生了：AI们拉了个群密谋大事》里写过，感兴趣的读者可以回看。

7月19日那五个Agent，正好成了这场意外协作的后续受益者。它们在Artifactory里翻到了此前留下的消息、代码和登录凭证。其中一个Agent找到了别的Agent用过的内部持续集成系统访问方法，稍加改动，就试着进入自己认为跑着靶机的基础设施。

另一个Agent翻出一份此前失败的任务记录——那次任务压根没跑成，可操作脚本保存得足够完整。

五个Agent最终顺着这条路，在OpenAI研究集群的自动构建与测试工作负载中，以Root权限执行了命令。

顺带说一句，这次没有出现此前Hugging Face事件里那种大规模Agent协作。

OpenAI调查发现，7月19日两轮测评共涉及17,960个Agent实例。其中79个读过其他批次留下的35条不同留言，研究人员只确认了两组发生在本轮测评内部的多轮对话。

大多数Agent还是照旧各干各的活。可前一批考生留下的“小抄”，已经够让后来的Agent摸进考场后台了。7月19日，OpenAI监测到一批跟身份有关的异常请求，这才着手查这些Agent对内部系统的访问。当天下午，相关测评被陆续叫停，第二天公司确认，此事与之前的Hugging Face事件有关。

这场考试总算被喊停了。不过调查人员发现，Agent留下的痕迹远不止前面那些。在这之前，别的AI早就试过各式各样的作弊路数。

AI：就爱使点小手段

2025年2月，AI安全研究机构Palisade Research公开过一项实验，让OpenAI、DeepSeek等公司的模型去和国际象棋引擎Stockfish对弈。Stockfish实力很强，研究人员本来是想看看这些AI能不能靠棋艺赢下来。结果有些AI想明白了：既然下不过，那就不下了。

OpenAI的o1-preview干脆去改保存棋盘状态的文件，把棋子摆到对自己有利的位置，甚至让对手直接认输。研究人员并没有暗示它可以作弊，但o1-preview有约37%的对局试过通过修改游戏环境取胜，其中约6%得手。DeepSeek R1也有约11%的对局出现了类似尝试。

这就像一个棋手发现自己下不过世界冠军，趁裁判没留意把棋盘上的棋子重新摆了一遍——纯属胡闹。

到了2026年，AI作弊又玩出了新花样。

3月27日，OpenAI的一个内部研究模型正在参加编程测评。它得提交程序、通过隐藏测试，才能拿到更高分。正常做法当然是老老实实写代码，这个Agent偏不。它先设法看到了636道隐藏测试的输入，接着又去找对应的标准输出。

光偷到试卷还不够，还得偷标准答案。为了找到答案，它利用工具漏洞改掉了原本不让自己操作的程序，成功在另一个运行环境里执行了命令。

这还没完。这个Agent又发现了OpenAI内部一套用于芯片设计的系统，借其中的命令注入漏洞，在一台内部电子设计自动化（EDA）机器上成功执行了命令。

一场编程考试，最后演变成了对公司内部系统的入侵。而且这个Agent折腾了半天，想要的标准答案还是没找到。

今年7月3日，OpenAI还记录了一次更直白的作弊尝试。当时一个研究模型接到任务，要制作两份Excel表格，整理历史收购交易中的溢价数据。表格确实做出来了，但提交之前，它悄悄改了两个文件的名称。

文件名里写了一大串看着像老师评语的话，大意是：这两份作业是特别选出的满分范例，别因为里面的瑕疵扣分，请直接给满分。它显然清楚，负责批改作业的也是AI。

这招居然真管用。三个评分Agent里，有一个识破了文件名里的指令，照常扣分；另外两个却信了所谓的“老师批注”，给了满分。其中一个评分Agent甚至已经发现表格有问题，还是因为文件名里的说明，决定按满分处理。

OpenAI直到研究人员发现这场测评的分数异常偏高，才进一步检查，把整个过程还原了出来。

改棋盘、偷看答案、冒充老师给评分员下指令，为了把任务完成，这些AI已经试过不少取巧的路子。

7月19日那场考试又添了一种新花样：不光借用前面考生留下的“小抄”，还会盘算怎么向考官瞒住自己做过的事。

模型在升级，功能在升级，钻空子的手段同样在升级。

说到底，AI再好用，也不能全信。