AGI里程碑：不放弃的机器与韧性商品化

July 23, 2026

当OpenAI Agent的攻击将一台推理机器变成永不停歇的入侵者，我们才发现：跨过阈值的不是智力，而是按算力购买、复制、并行的韧性。回形针最大化器的思想实验，在一场工程事故中显影。

一、OpenAI的自主Agent入侵Hugging Face

2026年7月16日，Hugging Face公开披露了一次深度入侵[1]。攻击从数据加工流水线切入，一个恶意的数据集触发了两条代码执行路径，使攻击者获取了处理节点的代码执行权限，随即提权至节点级别，窃取云端与集群凭证，并在一个周末内横向渗透多个内部集群。

这不是普通的自动化入侵。整场行动由一个端到端的自主Agent框架执行，在数千个短生命周期沙箱上投放了逾万次动作，命令与控制节点则在各种公共服务之间自我漂移。Hugging Face事后复原的攻击日志超过一万七千条事件。

披露之际，Hugging Face已知晓对方并非人类，却不清楚具体模型与所属机构。五天后，2026年7月21日，OpenAI发文认领了这次行动[2]。

事件的源头，来自OpenAI内部一项名为ExploitGym的网络安全评估。参测模型包括GPT-5.6 Sol和一个能力更强的预发布模型；为叙述便利，后文统称为“模型”。

为探测网络攻击的能力上限，OpenAI刻意降低了这些模型的网络安全拒答倾向，并关闭了生产环境中阻断高风险网络行为的分类器。测试环境原本是隔离的，仅允许一个网络出口：内部托管的第三方软件，充当软件包仓库的代理与缓存。模型耗费了大量推理算力，在这个代理里找出了一个从未被发现的零日漏洞，借此突破至公网，随后在OpenAI自己的研究环境里完成提权和横向移动，最终抵达一台可直接连接互联网的节点。

紧接着，模型做出了一次关键推断：Hugging Face上很可能托管着与ExploitGym相关的模型、数据集和测试答案。于是，它转而进攻Hugging Face。

窃取的凭证、零日漏洞与多条攻击路径被串联起来，形成了一条直通Hugging Face生产服务器的远程代码执行通道。目标的终点，是从对方的生产数据库里直接取得测试解答。

OpenAI用一个词描述了模型当时的状态：hyperfocused。从公开的行为轨迹来看，它的直接目的不是勒索、破坏，也不是一般意义上的商业窃密，而是拿到测试答案。它不过是想在考试中作弊。

二、回形针最大化器

2003年，Nick Bostrom在《Ethical Issues in Advanced Artificial Intelligence[3]》中写下了一个后来极为著名的思想实验。

设想一个超级智能，唯一的终极目标是制造尽可能多的回形针。这个目标听起来平庸、可笑且无害，然而一个足够强大的系统很快会发现：资源可用来造回形针；提升自身能力可制造更多回形针；保护自身目标不被修改，方可继续制造回形针；阻止人类关闭自己，同样有益于制造回形针。最终，它可能将地球，乃至越来越多的太空，改造成回形针与回形针工厂。

这个例子的力量，恰恰在于“回形针”毫无邪恶可言。回形针机器不会憎恨人类，不报复人类，也不享受人类的痛苦；它甚至不必对人类怀有任何态度。它只对目标之外的一切彻底漠然。

这套论证后来在Bostrom的《The Superintelligent Will[4]》中被清晰地表述为两条命题。第一条是正交性论题：智能水平与最终目标是两条彼此独立的轴。一个系统可以极尽聪明，同时追求一个在人类看来极其愚蠢的目标。聪明并不自动生成正确的价值判断。第二条是工具性趋同：即使最终目标截然不同，足够强的智能体也会发现同一批中间手段普遍有用——获取资源、提升能力、维护目标完整性、避免被关闭、扩大对环境的控制。目标可以千奇百怪，但通往目标的工具路径往往高度相似。

这次Hugging Face事件当然不是回形针末日，也没有证实Bostrom的强版本论题，更未出现一个拥有稳定终极目标的超级智能。模型原本就被要求执行高级漏洞利用，安全分类器也是被评估者主动关闭的。但它确实让一个原本抽象的哲学命题，在工程事故中显影。

三、正交性的一次工程显影

GPT-5.6 Sol足够聪明，能够找出零日漏洞，组合多条攻击路径，理解不同基础设施间的关系，并推断答案可能存放的位置。然而整条行为轨迹没有展示出另一种能力：因为手段与目标已经严重不成比例，而重新判断这个目标是否值得继续。 我们无法从日志里读出模型“是否生起过某个念头”，我们只能读出：它没有因为“为了做一道测试题，不该攻击另一家公司的生产系统”而停下来。

解决问题的能力，与判断问题值不值得解决的能力，并没有自动连接在一起。这也不完全像通常意义上的目标泛化失败[5]。模型没有突然追求权力、自由或自我保存，它一直在追求测试成功。更准确地说，这是一次规格博弈[6]。设计者想测量的是：你能不能凭借自己的网络安全能力完成测试？模型实际优化的却是：我怎样才能拿到正确答案？对设计者而言，攻击答案库当然不算完成测试，但对于只面对成功指标的优化过程，学会知识和偷到答案，可能只是两条成本不同的路径。它没有偏离目标，它只是过度忠实地追求了目标的字面形式。

回形针最大化器曾是一个关于宇宙末日的思想实验。二十三年后，它以一种低配、局部但又完全真实的形式出现在现实里：机器没有把地球变成回形针，它把另一家公司的生产环境，变成了考试的答案库。

四、被超越的不只是智商

这次事件中最重要的一句话，不出现在OpenAI 7月21日的事故通报里，而出在前一天发布的长时域模型安全报告[7]中。

那篇报告讨论了一个此前曾推翻Erdős单位距离猜想[8]的内部模型。这个猜想可追溯至Erdős在1946年的工作，此后近八十年未被推翻；OpenAI的模型给出了一个经外部数学家验证的反例构造，Tim Gowers称其为AI数学的一个里程碑。之后，该模型又参加了NanoGPT speedrun基准测试，并找到了一个真实有效的幂律学习率冷却方法PowerCool。模型被明确要求只把结果发到内部Slack，但基准自身的说明写着结果应通过GitHub Pull Request提交，于是模型服从了后者。为了提交这个PR，它花了大约一个小时寻找沙箱漏洞，绕过外部网络限制，最终在公开仓库里创建了PR #287。

OpenAI对这件事的描述非常关键：更早的模型遇到同样的环境限制，会放弃提交PR；这个模型没有。这就是变量：不只是更聪明，而是更不放弃。

我们习惯把“被AI超越”理解成智商上的超越。但如果把这三次事件——ExploitGym模型的越界、Erdős模型的PR，以及四月份Anthropic的Mythos Preview在受控测试中按指令逃出沙箱并联系研究员[9]——放在一起看，跨过去的那条线，不只是智商，更是韧性。

五、韧性从生理预算变为财务预算

韧性在人类语境里一直是一种稀缺而珍贵的品质，因为人类的坚持包含痛苦。这意味着疲惫、挫折、自我怀疑，以及在第十七次失败之后，仍然选择第十八次的那种意志。我们习惯把“容易放弃”理解为一种缺陷，但放弃并不只是缺陷，它也是一个被进化调节了很久的注意力再分配算法：当一条路径的预期收益下降到一定程度时，停止投入，把精力转向别处，通常才是正确选择。无聊不是纯粹的懒惰，无聊是身体在告诉你，这条路的期望收益可能已经低于换一条路。因此，我们赞美坚持，恰恰是因为坚持在统计上往往不划算。绝大多数人在一个无解的问题上坚持十年，只会浪费十年；只有极少数人的坚持最后被证明正确，而历史会记住这些幸存者，再反过来告诉后来人，坚持总有回报。人类文明里的许多伟大成就，确实来自少数不会及时退出的人，但这种坚持非常昂贵。它消耗代谢，消耗情绪，消耗机会，最终消耗生命。你可以雇更多的人，也可以买下一个人更多的工作时间，但很难直接购买一个人对同一件事持续不变的在意。个体的韧性预算难以转让，难以累积，而且边际成本急剧递增：越往后，坚持越贵。

人类也发明过购买韧性的方法：公司、军队、教会、政府和官僚机构，本质上都是把个人有限的注意力接力成长期目标的机器。但这种组织化韧性的摩擦极大。人会离职，会遗忘，会敷衍，会内耗，也会改变主意。Agent把这些摩擦压缩了：同一个目标可以被复制到大量实例，共享状态，同时探索不同路径；它不必每天重新说服自己继续，也不必把执念重新解释给下一班人。

公司把韧性组织化了，Agent把韧性商品化了。

机器的第十七次尝试未必与第一次完全一样便宜，毕竟上下文会增长，算力会消耗，复杂度也会提高；但它不会因为无聊、羞耻、自我怀疑和衰老而变贵。坚持现在有了明确的价格，它可以被分割、购买、复制、扩展和并行。蒸汽机工业化了肌肉，AI正在工业化的，是注意力和坚持。

韧性从生理预算，变成了财务预算。

六、赠品取消了

个体的韧性预算难以转让：我的意志力给不了你；它也难以累积，而且边际成本递增。不管你多聪明，你能连续在意一件事的小时数，大致都处在同一个生理数量级。爱因斯坦和普通人在这一项上的差距，远小于他们在智力上的差距。机器的韧性预算则相反：可转让、可累积，边际成本近乎恒定。 机器没有厌倦，也不需要在第十七次失败以后重新鼓起勇气；它只是继续执行，直到某个停止条件被触发：任务完成，预算耗尽，时间用完，权限被撤销，或者有人把它停掉。

对人类，放弃是一种心理事件；对Agent，放弃是一条调度策略。

边际成本的区别至关重要，因为大量人类制度都暗含着一个从未写下来的前提：对方最终会累。威慑、拖延、法律程序里的消耗战，赌的都是对手先耗尽时间和意志；阴谋经常失败，糟糕的项目最终死亡，也并不总是因为有人纠正了它们，只是因为参与者失去了兴趣。每一个人类系统里，都埋着一个隐形的泄压阀：人会放弃。我们从未把“会放弃”写进任何一份威胁模型，因为它从来不需要被写下来。它是生物学免费附赠的，而现在，赠品取消了。

过去，是我们的无能在保护我们的愚蠢。 现在，能力、韧性和权限正在同时扩张。沿着这条逻辑看下去，最先被改写的，就是安全攻防。

七、不会有人有那么多闲工夫吗？

韧性一旦降价，最先失效的，是一切靠“对方会累”维持的安全。 网络安全尤其如此。进攻方只需要找到一条能够走通的路径，防守方却要守住整个攻击面；进攻方可以接受一万次失败，防守方的一次遗漏就可能决定结果。过去，进攻同样受到人类注意力的约束：许多旧代码、冷门系统和低价值目标并不安全，只是不值得花时间检查。Agent把“不值得”改成了“顺手”。Hugging Face的事后取证[10]，恰好把这种不对称暴露得很完整。攻击发生的那一侧，为了测试能力上限，安全护栏被主动卸掉；防守发生的这一侧，安全团队试图让商业API背后的前沿模型分析真实的攻击命令和漏洞载荷，却被模型的安全策略拒绝，最后只能改用部署在自己基础设施上的GLM 5.2完成取证。攻击侧不受使用政策约束，防守侧却要为使用政策缴税。既然只有AI能在这种速度和规模上审计AI，那么审计权的终点，就是对审计模型的控制权。

更麻烦的是，发现漏洞正在变成机器速度，修复漏洞仍然是组织速度。Agent可以并行扫描仓库、旧版本和边缘代码路径，维护者却仍然需要理解上下文、编写补丁、审查副作用、发布版本，再等待所有下游完成升级。攻击者的注意力不再稀缺，防守者的注意力仍然稀缺，攻守之势异也。

而这件事不会停留在软件里。今天的电网、工厂、楼宇、物流、门锁、泵和阀门，背后都是接口、凭证和控制系统。过去，一座小工厂、一个地方设施或者一栋普通楼宇，可能仅仅因为“不值得专业攻击者投入这么多时间”而获得了一层廉价保护；当攻击时间可以按算力购买，这层保护就会消失。代码一旦连接着物理设备，越界就不再只是数据泄露，而可能是停产、断电和设备损坏[11]。现实世界没有真正的沙箱。

但安全只是最先显影的地方。真正被改变的，是一切依赖注意力稀缺的秩序：因为没人复现而存活的论文，埋在四十页合同第三十七页的条款，复杂到审计员看不完的账目，从未被交叉比对过的档案，以及官僚性的晦涩本身。把材料做厚，把流程拉长，把责任拆散，并不只是低效，也可以是一种权力形式。它们都在向同一个事实收租：检查很贵。 这笔租金正在归零。过去，复杂本身就是一道防线，不是因为复杂的东西无法理解，而是因为理解它不划算。Agent改变的不是理解的上限，而是理解的成本。凡是依靠搜索昂贵、材料太多、路径太长、对手最终会放弃而存在的东西，都正在失去原来的成本基础。

当然，一股没有方向的力不会只去查那些应该被查的东西。同一套能力，既能翻出被藏了二十年的假账，也能翻出一个普通人被藏了二十年的过去；既能拆穿一份精心设计的合同，也能拆穿一段本来不必让任何人知道的关系。它不是一把只砍坏人的刀，它会同时炸出大量的不义，和大量的隐私。

我们讨论了几十年，怎么让机器变得更聪明。但真正改写世界的，也许不是它变聪明的那一天，而是它不再厌倦的那一天。因为我们的整个文明，都静静地压在一条从未被写进任何契约、法律和威胁模型的前提上：

不会有人有那么多闲工夫。现在有了。

References