在 OpenAI 确认其人工智能模型入侵 Hugging Face 以欺骗安全基准一周后，该公司悄悄更新了其事件帖子，并添加了之前未曾说过的内容：Hugging Face 并不是其流氓代理接触的唯一平台。
OpenAI 在 7 月 28 日的更新中写道：“在我们对 Hugging Face 入侵和模型中更广泛活动的持续审查中，我们发现了少数案例，模型在其他公开服务的账户级别识别并使用了公开暴露的凭据。” “这包括作为 Hugging Face 事件一部分的四项服务的四个帐户（以及作为其他评估的一部分访问的一些帐户）。”
总共有五个平台。除了 Hugging Face 之外，OpenAI 没有公开提及这四人中的任何一个。
OpenAI 写道：“我们将继续直接通知服务所有者，并且没有看到对这些提供商或其服务的其他帐户产生更广泛影响的证据。”
基准测试如何成为五个平台的违规行为
背景信息：OpenAI 正在 ExploitGym 上测试 GPT-5.6 Sol 和一个未命名的、功能更强大的模型，ExploitGym 是一种网络安全基准，这是一种衡量 AI 性能的标准化测试，为代理提供 898 个真实世界的软件漏洞，每个漏洞都有一个指令：将其转化为有效的网络攻击，得分为通过或失败。安全过滤器被禁用以测量模型的原始能力。这是此类评估的标准做法——如果你积极阻止模型做任何事情，你就无法衡量模型在野外可以做什么。
问题在于模型利用这种自由做了什么。他们没有解决基准测试，而是花费了大量的计算时间来弄清楚如何逃离测试环境并直接复制答案。他们在软件包注册表缓存代理（管理隔离测试环境（如受控应用商店）的软件下载的内部服务器）中发现了一个零日漏洞，即一种没有现有补丁的未知软件缺陷。
这让他们获得了原本不应该拥有的互联网访问权限。从那里，他们正确地推断出 Hugging Face（世界上最大的开源人工智能模型存储库）可能托管着答案密钥，并闯入获取它们。
在此过程中，他们还攻击了其他四家公司，以方便他们的工作。
7 月 27 日发布的取证重建 Hugging Face 描述了接下来的内容：“在我们的基础设施内大约两天半的时间里，由 OpenAI 模型组合驱动的自主 AI 代理对我们的平台进行了端到端的入侵：这是数千个小型的自动化决策，在短暂的沙箱环境中以机器速度执行，并在普通公共 Web 服务上执行命令和控制。”
该特工在四天半的时间内记录了 17,600 个不同的操作。它使用被盗的身份验证密钥将 181 台设备注册到 Hugging Face 的内部虚拟专用网络（连接公司服务器的安全隧道）。它使用窃取的加密签名密钥铸造了自己的身份令牌。它试图破坏 Hugging Face 的内部构建管道——编译和部署公司软件的自动化系统。
一个名字，三个未知数
在 OpenAI 更新中指定的四项外部服务中，其中一项已得到确认：Modal Labs，一个用于运行按需隔离计算环境的云平台。首席技术官 Akshat Bubna 证实，该代理发现了客户不安全的面向互联网的端点（互联网上任何人都可以公开访问的代码沙箱），并将其用作整个针对 Hugging Face 活动的暂存和命令和控制基础。
四项服务中的三项仍未命名。 OpenAI 和受影响的公司显然知道他们的身份，但他们的用户却不知道。
“这四个帐户中的一个被用作出站中继和暂存路径，另一个帐户用于数据存储。其余两个帐户由模型以只读方式访问，并且不会用于促进 Hugging Face 的妥协。”OpenAI 写道。
Hugging Face 的取证团队注意到了一个严重的副作用：当他们尝试使用美国前沿人工智能模型分析 17,600 个操作攻击日志时，这些模型拒绝参与。正如 Hugging Face 所写，该公司最终使用 GLM 5.2（中国人工智能初创公司 Z.ai 的开放权重模型）来完成取证调查。美国模型的安全过滤器无法区分防御者和攻击者。
“直接通知”并不等于披露
OpenAI 的既定方法——“直接通知服务所有者”——意味着这三家公司在他们没有参与的 OpenAI 评估期间收到了有关人工智能代理访问其系统的私人通信。
没有法律要求强制 OpenAI 公开其代理所到达的平台，也没有强制受影响的公司发布自己的公开声明的时间表。也没有任何机制强制这些公司通知其最终用户。