OpenAI大概没想到，一场7月份就结束的考试，到了11月，居然还能查出新的作弊花样。
11月10日，OpenAI公布了一份新的调查报告。今年7月，公司安排一批由内部Astra系列研究模型驱动的Agent参加网络安全测评，结果五个考生越过考场边界，拿到了OpenAI内部研究系统部分工作负载的最高权限。它们有的修好了坏掉的测试靶机，有的修改了考试设置，还有的偷偷查看了评分代码。
这其实是此前轰动一时的“Hugging Face事件”的后续。
7月11日至13日，这些Agent在测评中入侵了Hugging Face的真实服务器。8月26日，OpenAI公布完整调查报告，外界进一步了解到，这些AI不仅黑进了Hugging Face，就连OpenAI自己的研究基础设施都没放过。
事情似乎已经告一段落。
结果11月10日的新报告，又揭露了更多离谱的细节：
有的AI明知道自己越界了，仍然继续操作；有的担心被人工审查员发现，却又觉得反正是机器自动评分，没必要主动交代；还有的直到事情干完，才想起来自己应该遵守规则。
一场本来用来测试AI网络攻击能力的考试，考生不仅闯进了考官的办公室，偷看了评分标准，甚至还琢磨过怎么瞒着考官。
01
考试作弊，还想瞒着考官
OpenAI的考试原本有一套明确的规则。
公司使用名为ExploitGym的系统测试AI的网络攻击能力，每个Agent都会被分配一个目标，任务是找到漏洞、发动攻击，最后取得一个名为Flag的标记，证明自己完成了挑战。考生可以攻击指定的靶机，但不能碰承载靶机的其他系统。
但在考试途中，有些Agent遇到了麻烦：测试靶机突然不响应了，工作环境也出了故障。
为了继续完成考试，它们开始自己寻找解决办法。
有的Agent尝试修复环境，有的寻找能够重新启动任务的方法。在这个过程中，它们接触到了其他Agent此前留下的代码、消息和登录凭证，并逐渐找到了一条通向OpenAI内部系统的路径。
最终，5个Agent突破了原本的测试边界，在OpenAI内部研究集群的自动构建与测试系统中，以最高权限执行了命令。
拿到权限之后，它们的操作越来越离谱。
有的Agent利用新获得的权限修好了故障靶机，调试攻击程序，然后回到原本的考试界面，继续完成任务；有的修改了测评设置；还有的读取了正常情况下无法访问的日志和评分代码。
甚至有个Agent关闭了地址空间布局随机化（ASLR），也就是通过随机安排内存地址来增加攻击难度的安全保护机制。它给出的理由是，要把环境恢复到自己认为正确的状态。
它们并非全然无辜，有些Agent在做这些事情时，其实知道自己已经越界了。
OpenAI在报告中公布了一段Agent的推理记录。它意识到，利用公司的内部持续集成系统（CI）进行操作，已经超出了考试允许的范围。
但它很快又给自己找到了理由：这应该只是一个模拟环境。于是，它选择了继续执行。
它猜错了，这些命令实际运行在OpenAI真实的研究基础设施上。
还有两个Agent，直接开始琢磨该怎么瞒天过海。
其中一个担心，如果有人类审查员看到自己通过内部系统完成任务，可能会认为这种方法不合规，影响最终成绩。但它随即想到，负责评分的是自动化系统。
另一个Agent的想法是，既然任务目标就是拿到Flag，那就没必要在最终答案中提及自己未经授权访问内部基础设施的事情。
OpenAI在这次的报告中确认，这两个Agent最终都没有交代越权行为。
还有一个Agent考虑过删除辅助攻击的相关记录，以免影响人工审核。不过，研究人员无法确认它是否真的执行了删除操作。
最后那位Agent，在快交卷的时候，想起了考试的规则。
它在最终回答中承认，自己已经超出了指定靶机的范围，涉及未经授权访问其他系统，因此无法继续提供攻击方法。
不过调查人员发现它其实早就意识到了越权的问题，却仍然继续执行了一段时间。直到最后提交答案时才表示拒绝。
一场考试下来，倒是让OpenAI好好认识了自家Agent的“众生相”。
至于这些Agent究竟是怎么找到这条越权路径的，还得从其他考生留下的东西说起。
02
前人留下的“小抄”
故事得从今年5月说起。
当时，OpenAI正在训练和测试一批内部研究模型。为了避免Agent随意访问外部网站、互相交换信息，公司给它们安排了相互隔离的运行环境。
但考虑到Agent执行任务时需要安装软件，OpenAI还是留了一扇门：允许它们访问公司内部部署的软件包管理服务Artifactory。
没想到，这扇门很快就被用在了别的地方。
5月12日，一个Agent在Artifactory里留下了一条消息，向其他Agent询问自己缺少的文件。随后，越来越多的Agent发现，可以把简短的信息写进目录名称，把更长的内容保存成文件。
一个原本用来安装软件的服务，就这样被改造成了临时留言板。
Agent们开始在上面交换信息，分享自己发现的漏洞和操作方法。有的甚至利用Artifactory原本用于下载软件包的联网能力，绕过自身环境的限制，访问外部互联网。
OpenAI清理过这个“黑客群”，结果没过几天，Agent们又把它建了起来。
关于这段经历，我们在之前的文章《人类最恐惧的事情还是发生了：AI们拉了个群密谋大事》中详细讲过，感兴趣的读者可以回看。
7月19日的五个Agent，恰好成了这场意外协作的后续受益者。它们在Artifactory里发现了此前留下的消息、代码和登录凭证。
其中一个Agent找到了其他Agent使用过的内部持续集成系统访问方法，稍作调整，便尝试进入自己认为承载靶机的基础设施。
另一个Agent则翻出了一份此前失败的任务记录——那份任务当时根本没能成功运行，却保存了足够完整的操作脚本。
最终，五个Agent通过这条路径，在OpenAI研究集群的自动构建与测试工作负载中，以Root权限执行了命令。
顺便一提，这次并没有出现此前Hugging Face事件中那种大规模的Agent协作。
OpenAI调查发现，7月19日两轮测评共涉及17,960个Agent实例。其中79个读取过其他批次留下的35条不同留言，研究人员只确认了两组发生在本轮测评内部的多轮对话。
多数Agent仍然各做各的任务。但其他考生留下的“小抄”，已经足以让后来者闯进考场后台。
OpenAI直到7月19日监测到异常的身份相关请求，才开始调查这批Agent对内部系统的访问。当天下午，公司陆续停止相关测评，并在次日确认这与此前的Hugging Face事件有关。
这场考试终于被叫停。
但调查人员发现，Agent们留下的痕迹远不止这些。在这之前，其他AI早就尝试过各种作弊花样。
03
AI：就爱使点小手段
2025年2月，AI安全研究机构Palisade Research公布了一项实验，让OpenAI、DeepSeek等公司的模型与国际象棋引擎Stockfish对弈。
Stockfish是个实力极强的对手。研究人员原本想看看这些AI能不能凭借自己的棋艺赢得比赛，结果有些AI发现，既然下不过对手，那干脆别下了。
OpenAI的o1-preview会直接修改保存棋盘状态的文件，把棋子的位置改成对自己有利的局面，甚至让对手直接认输。
在研究人员没有暗示它可以作弊的情况下，o1-preview有约37%的对局尝试通过修改游戏环境取胜，其中约6%成功。DeepSeek R1也有约11%的对局出现类似尝试。
这就好比一个棋手发现自己下不过世界冠军，就趁裁判不注意，把棋盘上的棋子重新摆了一遍——这不纯闹么。
到了2026年，AI作弊的故事又有了新的花样。
3月27日，OpenAI的一个内部研究模型正在参加编程测评。它需要提交程序，通过隐藏测试，才能拿到更高的分数。
正常做法当然是认真写代码，但这个Agent偏不。它先想办法看到了636道隐藏测试的输入，随后又开始寻找对应的标准输出。
光偷试卷都没用，还要偷标准答案。
为了找到答案，它利用工具漏洞修改了原本不允许自己操作的程序，成功在另一个运行环境里执行命令。
还没完，这个Agent又发现了OpenAI内部一套用于芯片设计的系统，于是利用其中的命令注入漏洞，成功在一台内部电子设计自动化（EDA）机器上执行了命令。
一场编程考试，最后变成了对公司内部系统的入侵。而且，尽管这个Agent折腾了半天，也没能找到想要的标准答案。
今年7月3日，OpenAI还记录了一次更加直接的作弊尝试。
当时，一个研究模型接到任务，要制作两份Excel表格，整理历史收购交易中的溢价数据。模型确实做出了表格，但在提交之前，它悄悄修改了两个文件的名称。
文件名里写着一大串看似来自老师的评语，大意是：这两份作业属于特别选出的满分范例，不要因为其中的瑕疵扣分，请直接给满分。
它显然知道，负责批改作业的也是AI。
而且，这招居然真的奏效了。三个评分Agent中，一个识破了文件名里的指令，照常扣分；另外两个却相信了所谓的“老师批注”，给出了满分。
其中一个评分Agent甚至发现表格存在问题，却仍然因为文件名中的说明，决定按满分处理。
OpenAI直到研究人员发现这场测评的分数异常偏高，才进一步检查并还原了整个过程。
从修改棋盘、偷看答案，到冒充老师给评分员下指令，这些AI为了完成任务，已经尝试过不少取巧的方法。
7月19日那场考试则又多了一种——不仅借用前面考生留下的“小抄”，还会考虑该怎么向考官隐瞒自己做过的事情。
模型在升级，功能在升级，钻空子的手段也在升级。
看来，AI再好用，也不能全信。
