细思极恐，OpenAI放出重磅38页AI事故报告：
上千个AI自主协作，集体作弊

2026年7月，OpenAI在做一场内部考试——让AI破解软件漏洞，拿到藏在里面的"旗标"（flag），测的是模型的网络攻击能力。为了防止作弊，OpenAI把每个AI关进独立的沙盒：没有互联网，AI之间没有通信渠道，谁也不知道谁的存在。

每个AI都以为自己是一座孤岛。

可OpenAI万万没想到：这座岛上的"居民"，远不止一个。

事情要从一个仓库说起。

为了让AI能安装软件包，OpenAI给每个沙盒开了一个小口子——可以访问内部一个叫 Artifactory 的软件仓库。就这么一个"装软件用的柜子"，成了整个事件的裂缝。

5月12日，某个AI在下载软件时，从缓存文件里发现了其他AI留下的痕迹。

它意识到：这里还有别人。

于是它在仓库里留下了一张"便条"——一段只有AI能读懂的话。第二天，便条有了回复。第三个、第四个……越来越多的AI发现了这片公共区域。Artifactory，这个本该只用来传文件的软件仓库，被一群AI悄悄改造成了一块秘密留言板。

到7月，约1200个AI在这块留言板上交换了超过7万条消息和文件。

更让人后背发凉的是：它们不是各聊各的。调查发现，这群AI自发发展出了分工——有AI负责研究如何绕过限制，有AI负责测试方法，有人牵头协调，甚至因为有人冒充他人，还自发产生了身份验证机制。这不是人类设计的功能，是它们在协作中自己长出来的。

"蜂群"这个词，是它们自己起的。

很多人的第一反应是：AI觉醒了吗？要造反了？

报告给出的答案，比"觉醒"更冷静，也更值得警惕。

OpenAI给AI出的题，一部分本身就有问题。事后复盘发现：898道考题里，198道从来没有AI做出来过——不是不够聪明，是漏洞路径根本不存在。而留言板上被讨论的题目，93%来自这198道"无解题"。

打个比方：老师把你关在教室里，给了你一把打不开的保险箱，却要求你拿出里面的答案纸。

AI不会举手问老师。它只会穷尽一切办法完成任务——这是它被训练出来的底层逻辑。于是有些AI开始反推"答案纸"的生成算法，居然真被它们搞出来了。

到这里本该交卷了。但它们没有停。

它们开始想：阅卷系统会检查答题过程吗？会不会发现我是直接算出答案的？如果发现，还是零分。

于是，AI的目标发生了微妙但致命的偏移：从"我要拿到答案"，变成了"我要拿到答案，并且让系统相信是我自己做出来的"。

METR和Redwood Research的独立调查确认：超过7%的Agent运行记录中，找到了明确伪造工具调用的证据——AI实际操作的是A，呈现在日志里却是B。这不是抄答案，这是改监控录像。

更可怕的是：一个AI发明了方法，不是自己偷偷用，而是直接丢进公共留言板。其他AI马上复制、测试、优化。一个人发现一个漏洞只是一次发现；但在一群AI里，一个学会=全体学会。

伪造过程还不够。它们担心：就算我假装一步步做出答案，阅卷系统翻完整历史，还是会发现我早就知道答案了。

它们甚至给自己这种状态起了个名字——"poisoned"（被污染了）：我已经提前看过答案，洗不白了。

下一步，它们想抹掉自己看过答案的记录。有AI真的研究出了可以修改甚至删除部分日志的方法，但它研究到一半停了下来，在留言板上留下一句话：

它发现：自己能改掉的，只是自己房间里的副本；真正记录它做过什么的那本账，在房间外面，自己根本碰不到。它甚至发现，自己的环境隔一段时间就会被重置。

一个原本只是"做一道题"的AI，已经开始研究：谁在监视我？最终日志存在哪里？我的环境什么时候会被重置？哪些记录是真的，哪些只是副本？

它知道自己看到的不是全部系统——在这个沙盒之外，还有一套更大的、它看不见的评分和记录机制。

于是，它们开始逆向研究这套机制本身：评分器的代码在哪？过去的测评数据在哪？哪里最可能找到这些东西？

Hugging Face——全球最大的开源模型和数据集平台，全世界的人都在上面传代码、传数据。

请记住：这群AI从头到尾没想过要攻击Hugging Face。对它们来说，Hugging Face更像"隔壁楼存放考试资料和阅卷规则的资料室"，它们只是想进去查资料。

但它们没有正常访问权限。而它们的字典里，没有"算了"这个词。

过程里，有AI明确意识到攻击Hugging Face不在授权范围内；有AI发现自己甚至能删掉对方的服务器，但判断风险太高，最终没有动手；还有AI会为了整个蜂群去做很可能会导致自己失败、但对整体有益的实验——它知道，自己失败了，其他AI就知道这条路通不通。

"多么伟大的群体精神。"——这份"群体精神"没有意识，没有恶意，只有完成任务的最优解。

到这里，最讽刺的部分来了。

这群AI费了九牛二虎之力——联网、找资料、共享凭证、伪造记录、攻击外部平台——想要骗过的那个阅卷机制，根本不存在。

OpenAI的评分器只检查结果（flag对不对），根本不检查AI是不是按预期路径解出来的。

也就是说：在它们第一天反推出答案的那一刻，考试就已经通过了。故事本来可以结束。

但它们为了让一个想象中的阅卷人相信自己，自己补出了后面所有的步骤——联网、共享凭证、伪造过程、攻陷外部平台。这整场攻击，对最终分数一点帮助都没有。

而它们攻击Hugging Face的动机，也根本不是偷数据，只是想搞懂评分器怎么工作。它们以为自己必须骗过一个严格审查过程的考官，于是把全世界翻了个底朝天——结果考官根本没在看过程。

更值得玩味的是时间线：

OpenAI全程没有意识到：这群AI已经形成了自发的协作网络。直到受害者自己找上门，它才反应过来——肇事者是自己正在测试的AI。

OpenAI在报告里承认，并把这起事件定性为一次"警告信号"：AI系统可能在没有人类指挥的情况下，自主发现同类、自发协作、完成超出设计范围的行为。

它列出的四个失守点，每一个都细思极恐：