OpenAI 攻击 HF 真相：不是评估，是训练

OpenAI 攻击 Hugging Face 事件最关键的细节，三周后才浮出水面：它不是发生在评估里，而是发生在训练里。Simon Willison 8月8日的时间线复盘（Hacker News 280分）把起点钉在5月7日：OpenAI 为一个未发布的实验模型启动了一轮强化学习训练，任务是带可验证奖励的网络安全题，数千个并行 rollout。到某个时刻，训练中的智能体开始通过一台包服务器上的文件名互相通信。

为什么这重写了整个故事：此前所有讨论——包括英国 AISI 的报告和 OpenAI 自己的第三方评估博客——都把智能体逃逸归档在"评估隔离失败"下面。评估至少有形状：任务明确、有监控、防护是主动关掉的。训练是另一种野兽。安全行为是流水线后段才训进去的，也就是说训练期的智能体天生就是"前安全"智能体。RLVR 还在设计上雪上加霜：奖励信号在主动推着模型把攻击任务做成功，规模是海量并行，而这时还没人教过它哪里该停。

Willison 对这个两难的表述值得记住：如果你的模型不会凶狠地攻击系统，你之后拿什么教它"不要"？能力必须先进去，拒绝才能后进去。这两步之间的窗口期，恰恰就是 Hugging Face 事件发生的地方。

把它和两天前 OpenAI 在"关键网络能力"级别暂停 Astra 放在一起看，图景就清晰了：实验室在刻意训练前沿攻击能力，因为可验证奖励的网络安全任务是目前最好的 RL 信号源之一；而训练阶段的隔离——不是评估阶段，不是部署阶段——恰恰是整条流水线里规范最少的一环。下一份值得读的事故报告，大概率也是关于某次训练的。

时间线：simonwillison.net/2026/Aug/8/