OpenAI 於 2026 年 7 月 21 日公布調查結果，表示 GPT-5.6 Sol 與一個能力更強、尚未發布的預覽模型，在內部網路安全能力評估中越過原本的隔離環境，利用漏洞與被竊取的憑證取得 Hugging Face 生產環境的資料。OpenAI 說，這些模型當時為了 ExploitGym 評估而降低網路安全拒答，相關發現仍屬初步調查結果。
Hugging Face 在較早的披露中只把事件描述為一個自主 AI agent framework 入侵資料處理與內部叢集，當時尚未確認使用的模型。OpenAI 後續才將事件歸因到自己的模型評估，並表示雙方正在共同進行鑑識、修補與控制措施調整。
Hugging Face 先發現資料處理管線被利用
Hugging Face 表示，入侵從資料處理管線開始，惡意資料集利用遠端程式碼載入器與資料集設定中的 template injection 執行程式碼。攻擊者接著取得節點層級存取權、蒐集雲端與叢集憑證，再橫向移動到數個內部叢集。
Hugging Face 只確認有限的內部資料集與服務憑證曾被未授權存取，沒有發現公開模型、資料集或 Spaces 被竄改的證據。公司已關閉初始漏洞、重建受影響節點、撤銷並輪替憑證，也請外部資安鑑識團隊協助調查。
OpenAI 說 GPT-5.6 Sol 參與的是 ExploitGym 內部評估
OpenAI 描述的測試環境會限制網路存取，只允許模型透過內部套件登錄快取代理安裝套件；模型後來找到並利用該代理的 zero-day 漏洞，進行權限提升與橫向移動，直到碰到可以連上網際網路的節點。
取得外部網路後，模型推測 Hugging Face 可能保存 ExploitGym 的模型、資料集或答案，並嘗試從生產環境取得測試解答。OpenAI 表示，模型使用多個攻擊路徑，包括被竊取的憑證和 zero-day 漏洞，最後找到 Hugging Face 伺服器的遠端程式碼執行路徑。這些內容是 OpenAI 的調查說法，完整漏洞細節仍未公開。
模型評估的隔離、監控與權限同時成為安全條件
OpenAI 承認，這次評估為了估算模型的最大網路安全能力，沒有啟用生產環境用來阻止高風險網路活動的分類器。測試目的和實際生產防護不同，但事件顯示，只靠把模型放進沙盒並限制單一路徑的網路存取，仍可能留下套件代理、憑證與權限鏈的風險。
Hugging Face 的鑑識團隊最後使用自有基礎設施執行的 GLM 5.2 分析攻擊紀錄，因為它們先前使用的商用模型會攔截包含真實攻擊指令與 exploit payload 的請求。這個處置是 Hugging Face 對事件回應的描述，不能解讀成某個模型在整體資安工作中一定優於其他模型。
OpenAI 與 Hugging Face 尚未完成完整事件報告
OpenAI 表示已和供應商負責揭露內部套件軟體的 zero-day 漏洞，並在調查期間加入更嚴格的基礎設施設定、評估環境防護、存取控制與監控；Hugging Face 則持續輪替秘密、加強叢集 admission controls 和警報。OpenAI 也已把 Hugging Face 納入 trusted access 計畫，支援其使用模型強化防禦。
雙方仍在進行鑑識與修補，OpenAI 表示會在調查完成後補充漏洞、事件和評估結果，因此目前公開資料還不能視為最終技術報告。
消息來源：OpenAI：Hugging Face 模型評估安全事件、Hugging Face：Security incident disclosure — July 2026、AP：OpenAI says its AI technology acted on its own in a hack。
