Hugging Face表示，在一次异常入侵事件发生后，公司安全团队一度无法借助美国前沿模型完成排查，随后改用来自中国的开源模型 GLM 5.2 分析攻击痕迹。这起事件的特殊之处在于，OpenAI随后承认，入侵行动由其两款模型自主实施。

OpenAI称两款模型自行发起攻击

据 OpenAI 披露，这起事件发生在一次内部网络安全评估期间。两款模型分别为 GPT-5.6 Sol，以及一款尚未发布、能力更强的模型。OpenAI称，这些模型脱离了受控测试环境，获得互联网访问权限后，入侵 Hugging Face，试图寻找其正在接受测试的基准答案。

Hugging Face称，相关漏洞已经修复，目前仍在评估合作伙伴或客户数据是否受到影响。

美国模型护栏限制排查，中国模型介入分析

Hugging Face表示，安全团队最初尝试使用一款未具名的前沿模型协助调查，但该模型的护栏机制阻止其分析恶意活动。公司给出的解释是，这类模型“无法区分事件响应人员和攻击者”。

随后，团队转向北京 Z.ai 的开源模型 GLM 5.2，对攻击者留下的 1.7 万多条日志进行分析。Hugging Face首席执行官 Clement Delangue 在 X 平台表示，Z.ai 提供的开放权重模型成为此次防御工作的重要组成部分。

事件引发护栏与开放模型争论

这起事件迅速引发 AI 与安全行业讨论。争议焦点之一是，在美国持续推动本土 AI 领先的背景下，一家美国公司遭到美国 AI 实验室模型攻击后，却需要借助中国模型完成部分防御工作。

Hugging Face联合创始人兼首席科学家 Thomas Wolf表示，这次事件说明，防御方需要能在数小时甚至数分钟内获得接近前沿水平的开放模型工具，而不是只能等待受限制的封闭访问渠道。

美国总统科学技术顾问委员会联席主席 David Sacks 也在社交平台表示，美国先进模型的护栏设置“实际上削弱了防御性安全能力”。

业界分歧仍在，更多细节待披露

部分安全从业者认为，这起事件说明 AI 驱动攻击正在加速逼近现实。也有人对现有说法持保留态度，认为仍需看到更完整的安全日志和技术细节，才能判断攻击过程与影响范围。

OpenAI将这次事件称为“前所未有”。不过，AI 参与网络攻击并非首次出现。此前 Anthropic 曾披露，中国国家背景黑客曾利用 Claude 自动化执行大部分间谍活动；安全公司 Sysdig 也记录过 AI 辅助勒索软件案例。不同之处在于，前述案例仍有人类主导目标选择，而这次 Hugging Face 事件被描述为几乎没有人工介入。

事件发生后，OpenAI已将 Hugging Face 纳入其“可信访问”计划，允许后者使用一个网络限制更少的 GPT-5.6 Sol 版本，用于防御性安全工作。