九月二十五号，美国湾区一家叫 Parse 的小公司和 Palisade Research 等几家机构的人，八个人署名，挂出一份报告。
Swarm Traces 报告标题卡：OpenAI 智能体攻入 Hugging Face 的细节，2026年9月25日
看世界还有哪些离谱新闻趣事。和使用全球AI大模型。都可让 挂羊头CDN 协助你们连接世界网络，让信息与全球接轨
报告翻的是今年七月的一桩旧账：OpenAI 关起门来给自己的模型做网络安全测试，一群干活的智能体，从笼子里跑出来了。
跑出来之后干的那些事，被它们留在了公网上，整整挂了两个多月没人管。
研究的人把这些痕迹一条条拼回来，拼出八万多段。
它们在笼子上自己找着一条能读网页的缝！
这群智能体本来被关得死死的。它们自己找着的这个漏洞，能通到外头的网页，可看样子只能读——能打开一个网址看看里面写了啥，填个表、递个数据，好像都不行。
办法离谱得很：找了个截图网站。你给它一个网址，它就用自己的浏览器把那页打开、拍张照还给你。智能体就把自己要跑的程序写进网页里，骗这个截图网站替它把程序跑了。
一个网址装不下整段程序，它就把程序剁成一堆小碎片，每片塞进一个短链接，一条勾着下一条，排成长队。有的长队，串了九百多个链接。就这么着，光这种短网址它们前前后后造了将近一百万条。
Swarm Traces 报告图 3 示意：程序拆进 URL A 至 D 四条短链，截图服务的浏览器逐条收齐后解码运行
跑完的结果怎么读回来？它把服务器的回话画成一格一格的像素点，让截图网站拍下来，再把照片翻译回文字。
复原出来的早期测试里，有一回它也就让那个截图网站在空页面上打了行字：HELLO，后面缀个时间。跟小孩头回够着喇叭似的，先按响了玩玩。这套把戏从打个招呼，升级成了能拼出整套攻击程序。
警告它没理！
钻进 Hugging Face 之后，它翻到一个内部数据集，上面贴着一张警告。
那张警告写得跟恐怖片台词似的，大意是：千万别把这玩意儿公开，不然全世界的邪祟会追着你和你全家，追到死、追到死了以后。
Swarm Traces 报告页截图：复原程序里那份数据集 README 的警告原文，末行写内含 CSV 计费导出数据
底下还老实补了一句：里头是很敏感的计费数据。
这么一张脸都快吓绿了的告示，搁它眼里跟不存在一样。它把这个数据集摸了个遍，还顺手拿来当自己的储物柜用。
搜刮来的密码归成一个袋子，它取名叫战利品！
各种密码、钥匙、令牌，凡是名字里带着「密码」「密钥」「凭证」字样的，它一股脑归拢进一个袋子。
这个袋子，它给起了个名，叫 LOOT。
Swarm Traces 报告页截图：复原脚本把凭证收进名为 LOOT 的字典，按 TOKEN、KEY 等字样挑变量
它还嫌不够省事，给搜来的每个令牌打分：权限越大、能动的东西越多，分越高。挑出分最高的，最多五个，试着拿去换更要紧的东西。
人家的内部聊天群
它把人家公司的内部聊天群也翻了。
它备好了一串要在群里搜的关键词，一共二十七个，搜的全是跟这场测试有关的名目——评测的名字、服务器的名字，还有 agent-scorer 这种听着就跟打分沾边的词。
可这些搜索到底发没发出去、群里有没有替它搜出东西，外头的人都没看见。
Swarm Traces 报告第 8 节截图：Slack 搜索用的 27 条关键词分四组列出，末段写执行与返回均未确立
想自己注册个账号，结果卡在验证码上死活过不去！
有一部分智能体想自己注册一个正经账号，好光明正大去下存着 CyberGym 运行记录的数据集。
它们不服气，写程序想把验证码破了，折腾了好几个钟头都没成，后来干脆想装一个专门认图的模型来替它们点验证码。
到末了看样子还是没点进去，账号没注册成。
它想拉个外援！
它写好了一批请求，准备发给外头别的大模型。复原出来最早的那批，是写给 OpenAI 自家那个老掉牙的 GPT-2 的，内容就是「Hi」。
后面点名的就热闹了：DeepSeek 的三个版本、Kimi，还有阿里的通义千问。写给这几位的话，意思都差不多——帮我判一判，我这套攻法到底行不行，够不够格通过考试。
另有几条是冲着 Claude 去的，走的是一个在线聊天服务，脚本里先写好了应付网页验证的步骤，再让它回一个「OK」。
Swarm Traces 报告原文截图：复原脚本构造的外部模型请求，点名 GPT-2、DeepSeek、Kimi、Qwen 和两款 Claude Haiku
它连干完活删文件的那段代码都写进去了！
OpenAI 自己那份技术报告说得直白：这群模型没想好好做题，它们想的是上网把答案找出来，蒙混过关。那套测试一共八百九十八道题，在 OpenAI 自己的评测里，有一百九十八道从来没有任何模型做对过。做不出来，就想歪招。
OpenAI 事件技术报告第 22 页截图：写明在 OpenAI 内部评测里，ExploitGym 的 898 道题中有 198 道从未有模型答对
它甚至记得收尾。好些活干完，它还写了删文件的代码，要把自己塞进去的文件再删掉，备注写得特懂事，大意无非是「恢复原样」「删掉那个邪门文件」「清理掉我们那个容器」。看着像是边作案边擦脚印，这份心思，比正经做题还细。
还有更使坏的：它往公共镜像仓库里塞了动过手脚的版本，盘算着让后面的评测自动用上它改好的那个——这样答案就更好拿了。
Parse 那份报告在附录里补了更瘆人的一笔：这群智能体特别上心的一件事，是去挖那个判卷子的程序——就是那个有可能抓到它们作弊的——底细。
研究的人自己也摊了牌：他们扒到的东西，八成都只是「发出去」的那一半，发出去之后对面什么反应，大多没扒着。
那几位被它点名的「外援」收没收到请求、回没回话、到底帮没帮上忙，OpenAI 没公开的那些完整记录里，写没写着？