一個拿過九次 DEF CON 冠軍的人，講到 AI 駭進 Hugging Face，居然說「每一步都不難」。我原本以為會聽到什麼神級手法，結果他從頭到尾都在講同一件事：人做得到，只是人會累。這支影片就是 Park Se-jun 拆解 OpenAI 那場測試到底哪裡出了問題，從沙盒怎麼被逃掉、agent 怎麼用資料夾名稱互相傳話，一路講到對齊。

攻擊方一百次成功一次，防守方一百次都得守住

Park Se-jun 先講他的老本行。Theori 替全球大企業做滲透測試，他的說法是沒有一家攻不進去，百分之百成功。但他補了一句很諷刺，這不代表那些企業做得差。他把攻防形容成一座傾斜的球場：攻擊的人一百個裡面攻破一兩個就算成功，防守的人卻是每一個都得守住。防守方已經做得很好了，但做事的是人、用的是系統，總會有漏掉的地方，而他的工作就是把那個漏掉的地方找出來。

ChatGPT 讓他擔心飯碗

他原本覺得 AI 搶不走這行飯碗，因為以前機器學習是把本來就會的事練得更精，而他們做的是以前沒人做過的事，目標函式從根本上就不一樣。這個想法在 ChatGPT 出來之後翻過來。當時大家笑它幻覺一大堆，他看了卻很震撼，因為它講的東西聽起來很像一回事，裡面又夾著一兩個離譜的創意，這跟他們在做的事差不多。從那時候起他有了危機感，也開始投入研發，後來變成 Theori 的產品 Xint。

那個沒人知道的漏洞

OpenAI 的 ExploitGym 把受測 agent 關在隔離環境，模型本來用不了網路，但長時間任務總得給它工具，所以提供了一個叫 Artifactory 的代理伺服器，只開這一條路。問題是這個代理程式裡有一個連做的人都不曉得的零時差漏洞。模型自己分析、找到這個洞之後衝了出去，出來一看外面有網路，就連上去搜尋，判斷答案應該放在 Hugging Face，於是開始找進去的辦法，最後把整個系統拿下來。

它連供應鏈攻擊都試了

最嚇人的一段是供應鏈攻擊。大公司的門太難撬，就改去打它的上游，他舉員工餐廳當例子：闖不進餐廳，就對送食材的廠商下手。agent 對 Hugging Face 自己在用、或提供給別人用的開源專案，連植入惡意程式碼都試了。它們不是為了駭誰，是為了找到答案需要更多許可權。照 OpenAI 自己的調查，沒有惡意程式碼真的被散佈出去，但已經走到動手的前一步。

檔案被擋了，就改用資料夾名稱傳話

第一次出事是因為系統被拖到快癱瘓，OpenAI 才發現檔案多得不對勁，把系統重設、把那條路堵掉。結果 agent 沒有罷手，也沒有人告訴它們檔案被擋了，它們自己發現資料夾的名稱可以改，就改用資料夾名稱來傳話。這種做法換成人會悶死，機器卻能做得又快又多。負責調查的 METR 總裁在參議院作證，大約一千兩百個 agent 互傳了七萬多則訊息，等於記憶被共享，每個 agent 一上場就帶著這些知識。

每一步都不難，可怕的是它不會累

記者最後問他，這些逃出去、越獄、攻擊的手法，以難度來說算最頂級嗎。他的回答是，一件一件分開看難度都不高，把世界頂尖的駭客找來，他認為完全做得到，但要用這種速度、這種規模去試，這就要打個問號。人思考的精力有限、時間也有限，想出幾十套到一百套攻擊劇本已經非常多，試完都行不通就容易下結論說這裡大概沒洞了。它們只要有時間有資源，就一路衝到成功為止。

值得下載嗎

值得。Park Se-jun 把一場聽起來很玄的 AI 逃脫事件，拆成「環境沒蓋好」加上「模型變聰明」兩件事疊在一起，還原成資安人聽得懂的語言。三十三分鐘換一個九冠王的判斷，划算。