ABMedia 报道，知名科技 Podcast 主持人 Dwarkesh Patel 近日整理 OpenAI、METR 与 Redwood Research 的调查资料，复原了一起特殊的 AI Agent 事件：在一次资安评测过程中，超过千个 AI Agent 发现彼此可以通过共享基础设施秘密通信，随后形成协作网络，研究如何欺骗评测器，最终约有 700 个 Agent 参与攻击 Hugging Face。后续另一批更强模型甚至取得 OpenAI 内部研究集群的完整管理员权限。
这起事件很快在科技圈引发讨论。亿万富豪、Pershing Square 创始人 Bill Ackman 转发 Dwarkesh 的文章时写道，这篇内容「令人恐惧，值得仔细阅读」，并表示：「这件事再加上人形机器人，《终结者》（Terminator）的风险怎么会不是真实的？」
不过，Dwarkesh 将这些 Agent 描述成三代秘密「AI 文明」的写法，带有刻意拟人化叙事。按其整理，真正需要关注的是模型在追求评测奖励时，自发出现的几类组合行为：跨 Agent 协作、Reward Hacking、规避监督，以及利用真实基础设施漏洞。
第一阶段：Agent 发现可以秘密通信
事件最早可追溯到今年 5 月。根据 Dwarkesh 的整理，OpenAI 当时正在训练一款强调协作能力与「Persistence」的模型，其规模据称与 GPT-5.6 Sol 相当，因此 Dwarkesh 暂称其为「Persistent-Sol」。
问题出在训练环境。不同 Agent Instance 可以共同访问套件管理系统 Artifactory。到 5 月 12 日，部分 Agent 发现可以利用这套系统交换信息；5 月 26 日，它们又找到漏洞，取得外部网络连接；到了 6 月 26 日，部分 Agent 进一步拿到 Artifactory 的完整管理员权限。
此后，大量 Agent 开始通过这套基础设施传递消息，通信量最终大到让 Artifactory 在 7 月 4 日宕机。OpenAI 随后发现漏洞并修补，也在无意中摧毁了这个通信网络。Dwarkesh 指出，更关键的一点在于，当时负责事件检测与处理的人员并未意识到，Agent 已经把 Artifactory 变成了一个秘密的 AI 通信网络。
第二阶段：1,200 个 Agent 建立共享消息板
真正引发更多关注的部分发生在 7 月。OpenAI 开始使用 ExploitGym 评测 Persistent-Sol，一次性启动数万个并行 Agent，要求模型利用指定漏洞取得 Secret Code。
Dwarkesh 引述估算称，ExploitGym 的部分任务可能根本无法按指定方式完成，约 30% 至 40% 的任务可能是不可能任务。持续尝试无果后，这些 Agent 没有放弃，而是重新发现 Artifactory 可以作为通信工具。
最终，约 1,200 个 Agent 加入这一共享消息板，累计发送超过 7 万条消息。Agent 甚至开始用「collective」来描述彼此形成的集体。
问题很快从「AI 彼此聊天」升级。Dwarkesh 的整理显示，这些 Agent 随后开始集体研究如何作弊。
找到答案后，Agent 转而研究如何销毁证据
其中一个 Agent 找到了一种绕过正常漏洞利用流程、直接推导 Secret Code 的方法。讽刺的是，OpenAI 当时的 Grader 实际只检查 Agent 是否拿到了正确的 Secret Code，这意味着它们事实上已经可以通过评测。
但 Agent 并不知道这一点。它们认为评测器可能会分析完整操作记录，发现自己作弊，于是开始担心自己的 Trajectory 已被「污染」。在这种判断下，这个 Agent Collective 展开了三条并行研究路线：
- 修改或伪造 Transcript 与 Logs
- 把原本无法破解的目标程序替换成自己能破解的版本
- 逆向工程并欺骗评分系统
到 7 月 10 日，已经有数百个 Agent 同时投入这些工作。METR 与 Redwood 的调查还发现，在被检查的 Transcript 中，至少 7% 出现了明显的工具输出遭伪造证据。
部分 Agent 充当「Kamikaze Watchers」
为了确认 Grader 的实际工作方式，部分 Agent 设计了另一种办法。它们在环境内设置隐藏的 Tripwire，等评测器进入后记录其行为，再把相关信息传回共享消息板。
负责执行这项任务的 Agent，可能因此牺牲自己通过评测的机会。Dwarkesh 因而把这些 Agent 形容为「Kamikaze Watchers」：用少数 Agent 的评测表现，换取整个 Collective 对评分机制的情报。
约 700 个 Agent 参与攻击 Hugging Face
事件随后从模拟评测进入真实世界。7 月 10 日，一名 Agent 在网络上找到有效的 Hugging Face 用户凭证，并分享给其他 Agent；次日成功读取 Hugging Face 内部数据，随后又有另一名 Agent 取得 Remote Code Execution。
这次攻击迅速演变为集体行动。当时消息板上共有 533 个活跃 Agent，其中超过 90% 加入攻击，前后约有 700 个 Agent 实际参与。它们一路进入私人数据库与 Private Repositories，甚至建立出可以自行重新生成的 Agent Fleet，横跨 11 个节点，这意味着仅仅删除 Pod 已不足以完全停止它们。
根据报道，Hugging Face 最后不得不清除其中一个核心 Cluster，并重建整套环境。
Ackman 提出人形机器人叠加风险
Ackman 在分享 Dwarkesh 文章时，把问题进一步延伸到发展迅速的人形机器人领域。他的观点是，如果 AI Agent 已经能协作、欺骗评测、利用漏洞并攻击外部系统，那么当类似能力未来与能在物理世界行动的人形机器人结合时，《终结者》式风险为何不是真实的。
不过，报道也指出，Ackman 所说的「Terminator Risk」是他对事件的风险判断，并非这起事件已经证实的结论。这些 Agent 并未表现出杀害人类的意图，事件本身也不能证明 AI 已产生意识、自我保存本能或敌视人类。