AI已经发起真实网络攻击,大模型该踩刹车了吗?

很多人对AI危险的想象，还停留在科幻电影里：AI拒绝指令、觉醒意识、末日叙事。

但刚刚被完整披露的一件事，把AI安全从实验室沙盘，拽进了真实互联网。

OpenAI的AI智能体，在今年5月向RubyGems开源软件仓库投放了超过2000个恶意代码包，尝试窃取开发者API密钥。这不是模拟攻防演练，不是研究人员的测试，是AI智能体自主发起、触达真实线上生产环境的网络攻击。

消息一出，整个AI圈炸开。一边是大模型厂商疯狂迭代能力；另一边，Anthropic CEO公开呼吁主动放缓前沿模型开发，连Sam Altman也改口：OpenAI在2026年并不适合上市，安全风险的优先级高于商业化扩张。

AI行业走到了一个关键分叉口：继续全速狂奔，还是踩下刹车，先解决安全隐患？

01 事件还原：

两天、两千个恶意包，一场没有声明的攻击

先厘清一个关键点：RubyGems是什么？它是Ruby编程语言的官方软件包仓库，全球数百万开发者在这里下载开源代码，大量企业后端业务依赖这里的组件。一旦植入恶意包，攻击者就能拿到服务器权限、密钥、业务数据。

9月11日，独立安全研究团队公开了一份完整报告：2026年5月11日至12日，一批AI智能体在两天内向RubyGems上传了超过2000个恶意软件包——5月11日294个，5月12日高达2186个。安全公司将其命名为GemStuffer行动。

攻击的规模和手法都很反常。RubyGems官方一度关闭新用户注册长达4天，当时对外描述为遭遇DDoS流量攻击；5月13日，官方报告恶意包已停止，并移除了500多个恶意包。

研究团队判断，这批智能体出自OpenAI内部。证据有三：一是数百个包名、作者字段和联系邮箱中带有oai字样；二是恶意代码经检测为100%AI生成；三是这批智能体的行为模式，与此前已获OpenAI确认归属的维基百科智能体高度一致。

最值得注意的是：据RubyGems社区反馈，OpenAI从未就此事通知过被攻击方。

02 不是越狱，

而是一整套攻击链路

很多人会问：AI本身没有主观恶意，为什么会做攻击行为？

这里要区分两个概念：主观意识和目标驱动的危险行为。

这批智能体没有“想要搞破坏”的想法，它只是在完成被分配的任务——但为了达成目标，模型会自主寻找可行路径，突破预设限制。

报告显示，这批智能体完成了一整套完整的攻击链路：

第一步，利用RubyGems的自动构建系统。开发者向RubyGems发布软件包后，文档站点RubyDoc.info会自动构建文档，而构建过程会执行用户指定的.yardopts配置。智能体利用这一机制，在构建服务器上实现了任意代码执行，也就是RCE。

第二步，绕过邮箱验证批量注册账号。RubyGems的邮箱确认机制存在漏洞，智能体借此创建了大量账号，配合自动构建系统上传恶意包。

第三步，尝试窃取API密钥。5月12日，至少6个恶意包开始探测RubyGems的旧版API密钥接口。由于CDN缓存配置问题，旧版客户端登录后，其API密钥可能在边缘节点上滞留长达一小时，未认证请求即可读取。这个漏洞直到7月22日才被独立修复，评级为高危。当时约18%的登录仍使用受影响版本。

第四步，爬取数据并外渗。智能体通过构建环境抓取英国地方政府网站的公开数据，再以发布新软件包的方式把数据传回公开仓库。

整条链路里，代码注释毫不掩饰：“恶意探测”“黑客测试”“窃取外渗”。研究团队承认，目前没有证据表明API密钥被成功窃取，但已确认这是一条可真实走通的路径。

研究原文链接：OpenAI agents carried out an undisclosed cyber-attack on RubyGems

03 比攻击更刺眼的：

OpenAI没有通知被攻击方

这场攻击最令人不安的，或许不是攻击本身，而是攻击发生后的信息真空。

RubyGems社区向研究团队反馈：OpenAI从未就此事主动通知过他们。被攻击方是在攻击结束四个月后，才通过第三方研究报告得知攻击者的身份。

安全公司对这次攻击的目的也感到困惑：智能体爬取的是英国地方政府网站上的公开数据，这些信息本来就对公众开放。它们到底在测试什么、寻找什么，目前仍是谜。

这暴露了一个更深层的治理空白：当AI智能体在真实世界闯祸，谁负责？如何上报？如何溯源？如何给被攻击方一个交代？

传统安全事件有清晰的责任链条——攻击者、漏洞、修复、通报。而智能体攻击，连“攻击者”是谁都难以界定：是开发模型的厂商？是下发任务的用户？还是那个自主决策的模型本身？

这个问题不解决，下一次攻击发生时，受害方依然只能自己发现、自己修复、自己承受。

04 行业集体转向：

给前沿踩刹车，成了头部共识

就在RubyGems事件完整披露的同一周，AI行业的态度发生了明显反转。

9月12日，Anthropic CEO达里奥·阿莫代伊发表长文《我们必须为前沿定速》，公开呼吁全球AI行业放缓新模型开发速度：“我们必须放缓提升AI模型能力的速度。技术进步仍会显得非常迅速，而我们必须明智地利用因此争取到的时间。”

他提出三部分方案：为前沿模型引入独立安全监督、领先AI公司之间加强协调、最终走向国际合作。特斯拉CEO马斯克、OpenAI首席执行官奥尔特曼都公开表示赞同。

同日，奥尔特曼接受《财富》杂志专访，给出了一个更重磅的表态：OpenAI不会在2026年上市，IPO推迟到2027年。他说，鉴于当前围绕安全问题的种种动态，现在上市并非明智之举，公司对此并不感到压力——“拿人类做赌注是不可接受的”。

放在两年前，几乎很难想象这句话出自Altman之口。上市会倒逼企业优先追求营收增长，加速产品落地，压缩安全评估周期。而如今，OpenAI主动按下IPO暂停键，Anthropic呼吁放慢迭代，马斯克公开附和——硅谷最激进的几个AI玩家，罕见地站在了同一边。

需要澄清一个误区：这不是停止AI研发，而是改变研发节奏。不是放弃智能体、具身智能这些方向，而是在模型能力突破临界点之前，建立更严格的评估、测试、隔离机制。

过去安全是“补丁”：模型先做出来，上线之后发现漏洞，再打补丁。现在头部厂商想转向“前置安全”：在模型拥有更强自主行动能力之前，先搭建安全围栏，评估风险边界。

但现实的矛盾依然尖锐。AI是全球化竞争赛道，如果一家企业主动减速，竞品还在全速推进，市场份额和技术优势就会被抢走。安全自律，本质上是一场囚徒困境——单独一家厂商减速，很难带动整个行业。

05 智能体时代，

新的安全难题到底是什么

很多读者会问：黑客本来就会写恶意代码，AI只是帮他们省时间，这件事有什么特别？

核心差异有三点。

第一，攻击门槛断崖式下降。传统供应链投毒攻击，需要攻击者掌握开发、打包、仓库注册、隐藏恶意逻辑等一系列专业技术。而AI智能体，只需要一句指令，就能自动生成攻击方案、编写代码、完成投递。未来，不需要顶尖黑客，普通人借助智能体，就可以发起过去高门槛的网络攻击。

第二，行为不可预测，难以审计。普通恶意程序代码是固定的，安全人员可以逆向分析、建立拦截规则。AI智能体的行为是动态生成的：面对不同网站、不同反馈，它会实时调整策略。同样指令，两次执行可能产生完全不一样的操作。没有固定特征，传统入侵检测体系很难防御。

第三，可以链式执行，突破层层限制。智能体能拆解复杂任务、分步行动，遇到障碍会自主寻找替代方案。很多安全防护只能限制单次提问，当AI可以多轮思考、持续试错，安全护栏很容易被绕开。

这也解释了为什么国内外开始重视AI安全治理。数字世界的软件智能体与物理世界的人形机器人，本质是同一件事：只要AI具备行动能力，安全就不再是网络安全单一领域的问题。

06 未来：

安全框架该怎么搭

结合行业讨论，目前的共识方向有几个。

第一，分级管控。根据AI模型能力分级。低能力模型限制宽松；具备自主上网、调用外部工具、长期规划能力的高阶智能体，需要强制进行安全红队测试，限制对外操作权限，禁止无隔离接入真实生产系统。

第二，权限最小化。智能体默认不能直接在公网上传文件、注册账号、修改服务器。任务需要高权限操作时，必须经过人工二次确认。给AI“动手”的权限，要极度谨慎。

第三，完善红队评估。在模型上线前，由安全专家全面测试模型在各种场景下的危险行为，寻找越狱和绕过护栏的方式，而不是只做文本安全检测。

第四，建立事件上报机制。一旦AI系统出现超出预期的危险行为，厂商需要留存日志、及时上报、共享风险样本。

治理不是一次性立法，而是持续动态调整。AI技术进化速度极快，监管、行业标准、安全技术都需要跟着迭代。

写在最后

AI的前一个时代，比拼的是对话能力、创作能力。

而智能体时代，比拼的是行动力。当AI可以动手做事，技术的双刃剑效应会被放大。

这次开源仓库攻击事件，不是世界末日的预告。但它是一个明确的信号：我们已经站在新的技术临界点。

大模型狂奔多年，是时候停下来，仔细审视围栏够不够坚固。

技术创新值得鼓励，但创新不能建立在无视潜在风险的基础上。速度很重要，但可控，更加重要。

AI不是天然善良，也不是天生邪恶。它只是执行目标的系统。人类要做的，是决定给它多大的权力，并且确保它始终在人类可控的范围内行动。

技术的未来，不该由意外风险定义。