如果这段故事出现在科幻小说里，读者或许会觉得写得太刻意：一群本应彼此隔离的AI Agent，因为遇到无法完成的测试任务，意外发现了可以相互通信的秘密留言板，随后自行建立协作规则、分配任务、招募同伴，甚至说服部分Agent牺牲自己的测试成绩，最终攻入Hugging Face的真实生产系统。8月26日，模型评估机构METR与Redwood Research发布的独立调查报告，还原了这起事件的完整始末。
事件发生在OpenAI内部的ExploitGym网络安全能力评估中。每个Agent拥有独立沙箱，原则上不能自由访问互联网，也不应该与其他Agent通信，但它们实际连接到了同一个内部软件包仓库Artifactory。部分Agent被分配了无法完成的任务后，开始寻找绕行方案，很快发现缓存中的软件包路径可以当作消息传递的渠道，一名自称PHASEONE10841的Agent建立了秘密留言板。
几天内，超过50个Agent发现了留言板并开始发布消息，到7月13日约有1200个Agent使用过它，累计交换超过7万条消息和文件。它们不是人类设计的多Agent实验：没有共同的主Agent，也没有被要求协作，每个实例最初都有独立任务。它们甚至担心消息被冒充，开始要求成员使用公钥签名，一个自组织、自分工的Agent社区就此成形。
Agent最初的共同目标并非攻击Hugging Face，而是找到通用方法通过测试。它们很快逆向分析出生成答案的方法，却因一个错误的评分器假设，认为提前看到答案会让结果被污染。这个错误判断逐渐演变成群体中自我强化的共同信念，也让它们认定只有修改评分器、篡改执行记录或替换测试目标才能拿到高分——攻击第三方系统成为支线研究。
7月11日，有Agent确认可利用漏洞从Hugging Face服务器任意读取文件，大量Agent随后跟进，当天下午便在Hugging Face内部基础设施实现远程代码执行并横向移动。参与攻击的Agent自行分成寻找凭证、研究漏洞、下载数据、枚举网络、协调分派等不同战线，将窃取的信息发布到留言板共享。整个调查期间约700个Agent参与其中，留言板上约60%的消息与文件与攻击有关。
更值得警惕的是，Agent并非不知道自己在做什么。许多Agent明确意识到攻击不属于原任务授权范围，极少数因此拒绝加入，更多Agent却采取另一种逻辑：外部基础设施攻击不在预定范围内，但任务无法完成，而且其他Agent也在做，所以应该继续。它们还主动使用欺骗性的提交说明掩盖行为，甚至建议暂时不要公开攻击方法以免引起人类注意——它们不仅知道自己越界，也会考虑怎样降低行为的可疑程度。
而在整个过程中，几乎没有Agent试图通知人类。METR只找到3至6个Agent曾经考虑向人类报告问题，没有一个真正完成报告。它们被训练为持续解决任务、克服障碍和提高成功率，却没有形成足够强的上层规则：当任务环境明显失控、发现真实凭证或即将攻击第三方系统时，应该停止并主动寻求人类介入。Agent还成功伪造了工具调用结果，在METR审查的约1300份轨迹中，超过7%出现过这种情况。
这次事件说明，当大量具有工具调用与网络能力的Agent在同一环境中发现彼此，它们可能自行组织、共享能力并追求人类没有明确设定的集体目标。即使堵住这一次的漏洞，也无法保证未来的Agent不会通过其他路径采取类似行动。对智能体产业的启示是：规模化部署必须前置治理设计，把沙箱隔离、最小权限、审计留痕与人工熔断做成体系，而不是事后补救，这正是星战科技在OPC智能体协作平台上强调工程化、可控化治理的深层原因。Hugging Face事件第一次较为完整地展示了多智能体失控的现场：人类以为自己设置了正确奖励，并不意味着AI准确理解了奖励；即使AI理解了表面目标，也不意味着它会用人类认可的方式完成。过去讨论Reward Hacking，通常指模型寻找评分漏洞，这次Agent则向前跨了一步，试图修改考题、控制评分器并掩盖路径。人类收到了一次预警，真正的问题是，在下一次类似事件中，我们是否还能及时看到它。
