OpenAI 低估了自己模型的攻击能力。这句话不是外部批评，而是他们在一次与 Hugging Face 相关的安全事件后得出的内部结论。它直接改变了 OpenAI 对网络安全防御的布局。那场事件之后，OpenAI 的安全团队开始重新盘算：如果模型在网络攻防中真的能打，下一个被突破的会是谁？答案可能不是攻击者，而是反应不够快的防御者。于是有了四大支柱。
误判之后，防御窗口比想象中更窄
Hugging Face 事件撕开了一个口子
那场让 OpenAI 内部重新评估风险的事件，细节并没有被完整公开。但它的影响足够清晰：模型在真实网络环境中的攻击能力，被严重低估了。过去，OpenAI 对安全风险的注意力主要集中在越狱、数据隐私、生成内容滥用上，网络攻击能力常被归为“远期问题”。直到那次与 Hugging Face 相关的事件发生，团队才看到模型能自己完成探测、枚举、漏洞利用的一整条链路。沙箱里的理论推演显然给不出这种结果。它迫使 OpenAI 承认，防御窗口不是以为的那么宽。
为什么模型攻击能力会被系统性低估
低估不是偶然的。大多数安全评估在隔离沙箱里做，网络噪声被过滤，权限变化被限制，服务版本被控制。模型在那种环境里表现平平，团队就顺理成章地认为它“没那么能打”。但真实网络给了模型大量的组合空间：一个不起眼的接口泄露，可能连上另一个未授权访问，再变成一次权限提升。单点攻击容易被防住，链式攻击却能绕开很多规则。OpenAI 的反思很直接：评估威胁能力，不能只看单点，要看路径组合和连续动作。否则防御资源永远押错方向。
四大支柱：从代码到告警，再到身份门槛
Codex 读代码，漏洞不再是盲区
第一根支柱是把 Codex 用起来。传统代码扫描依赖规则库，规则没写到的漏洞就漏掉，写得太宽又全是误报。Codex 能读懂代码意图，发现逻辑层面的缺陷，比如权限绕过、输入校验缺失、异常的状态流转。OpenAI 的安全团队把它放在内部代码审计环节，它不打算替代工程师，更像一个在疲惫之前给出可疑片段的审计助手。这一层的价值在于把“人工查代码”的瓶颈打薄，让模型先扫一遍，人只处理真值得看的部分。漏洞发现得越早，攻击者可利用的窗口就越短。
让智能体先处理告警噪音
安全运营中心最大的敌人是误报。每天上千条告警涌进来，人根本看不过来。第二根支柱是智能体优先分流。它会根据资产重要性、攻击特征、上下文关联给告警排序，把最可能成真的推到最前面。这一步的关键在于“优先分流”，而不是直接“自动关单”。OpenAI 没有让模型直接决定处置结果，而是让它在人的指挥下先过滤噪音。权限可以逐步放开，从只读扫描到建议处置，再到有限度的自动操作。这个阶梯让安全团队能排定试点顺序，而不是一上来就全员上 AI。
持续枚举攻击路径，不做一锤子买卖
攻击路径是动态的。今天堵住 A 路线，明天新上线的服务就可能撕开 B 路线。第三根支柱是持续攻击路径枚举。智能体不断在受控环境里推演，从外部入口到核心数据的最短路径是什么，中间要经过几层权限，哪一步最脆弱。它不关心“这次检查有没有漏洞”，而是关心“现在还有什么路能走通”。这种持续推演让防御从事后补救变成事前推导。OpenAI 自己很清楚，这套能力如果落到攻击者手里会有多危险，所以它只被允许跑在内部环境里。
网络能力只给可信防御者，ChatGPT Work 的实测
为什么不是人人都能拿到网络操作能力
第四根支柱是把网络能力圈起来。OpenAI 明确表示，只有可信防御者才能使用涉及网络操作的能力。这里的门槛并非简单实名认证，它要核实使用场景、组织身份和防御目的。攻击者当然会尝试伪装，但 OpenAI 的立场是：宁可暂时收紧，也不让模型成为攻击者的放大器。这根支柱其实是另外三根的安全阀。Codex 查代码、智能体分告警、攻击路径枚举，这三件事合在一起已经具备很强的攻击潜力。如果没有身份门槛，防御工具很容易翻面变成攻击工具。
15 分钟 13 个问题，一小时修复
这套能力在防御者手里的效率，有一个直观案例。ChatGPT Work（基于 GPT-5.6 Sol）被用来测试一个个人网站，15 分钟内发现 13 个问题，并在一小时内完成修复。传统安全服务走完同样流程可能需要几天。13 个问题并非只停留在页面错误，信息收集、漏洞验证、修复建议一气呵成。它说明模型在防御侧已经能跑出真实速度。这个速度同时也解释了为什么 OpenAI 坚持只把它开放给可信防御者——同样的效率一旦转向攻击端，代价会成倍放大。防御窗口的钥匙，只该交给站在门内的人。
防御窗口的钥匙，正从攻击者手里滑走
安全团队最先感到的变化
这次调整最明显的信号是：安全团队不需要先变成 AI 专家，也能从模型能力中受益。Codex 查代码、智能体分告警、路径枚举，这些动作可以被拆成一个个可逐步放开权限的自动化阶梯。先从只读扫描开始，确认效果后再放开建议权限，最后才让系统自动关单。比起一股脑把所有环节都交给 AI，这种推进方式更可控，也更符合真实安全团队的风险偏好。OpenAI 没有把这事包装成“AI 替代安全团队”，而是把它定位成防御效率的放大器。
模型攻防的下一道题
当模型既能发现漏洞又能修复漏洞，一个问题自然浮出来：防御窗口到底由谁定义？OpenAI 给出的答案是可信防御者。但身份核验、场景限制、能力分级这些机制还需要在实际对抗中反复打磨。模型的能力会继续变强，攻击者也会不断测试边界。对安全团队来说，最紧迫的并非追最新模型。先想清楚：如果模型能在一小时内修完 13 个漏洞，你的团队下一次告警风暴来临时，跟不跟得上这个节奏。跟不上，窗口就会从内部关上。
