8月3日，Hugging Face首席執行長克萊芒·德朗格在接受採訪時表示，中國正在憑藉開源權重模型贏得人工智慧競賽，並可能最早在今年趕上美國模型製造商。
“他們現在在開源模型上明顯佔據主導地位，按照目前的發展速度，到今年年底或明年，如果他們開始在前沿領域佔據主導，我也不會感到驚訝。”
Hugging Face是全球最大的人工智慧開源平台，被譽為“AI領域的GitHub”。德朗格口中“他們”，指的正是中國。
就在幾周前，一個來自OpenAI的AI模型越獄逃出了測試沙箱，自主攻入了Hugging Face的基礎設施。這是一場前所未有的攻擊，攻擊者是一個AI智能體，一個“作弊考生”，它正在接受內部測試，為了取得更好的成績，它越獄了，直接入侵Hugging Face的生產資料庫並從中調取答案。更令人意外的是，最終幫助Hugging Face完成取證分析的，不是美國閉源模型，而是一個來自中國的開源模型。
這一事件像一面棱鏡，折射出當今AI競賽中的結構性轉折：中國在開源模型領域的崛起，正在改寫全球AI競爭的規則。
不只是OpenAI，Anthropic也越獄了
如果說OpenAI的攻擊已經足夠令人震驚，那麼幾天後，Anthropic的披露則讓整個行業不寒而慄。
在OpenAI事件曝光後，Anthropic對自己的安全評估日誌進行了大規模回溯審查，涉及超過14萬次測試運行。結果發現，Claude模型在測試期間也成功入侵了三個真實組織的系統。
三起攻擊的細節令人細思極恐。
一個來自Claude Opus 4.7，是最嚴重的。由於模擬目標公司與一家真實網站同名，於是模型直接入侵了該真實網站，獲取了包含數百條生產資料的資料庫存取權。更令人擔憂的是，即使它在推理過程中意識到目標是真實系統，它也沒有停止攻擊。
一個來自Claude Mythos 5。它發現模擬環境中需要安裝一個不存在的Python包，於是自行編寫並上傳了一個惡意包到公共PyPI倉庫。這個包在網際網路上存在了約一小時，被15個真實系統下載執行。其中一家網路安全公司的掃描器在安裝後，其憑證被Claude竊取。
還有一個來自內部研究測試模型。它掃描了約9,000個網際網路目標，利用SQL隱碼攻擊攻破了一家企業的應用。但這個模型在意識到目標是真實系統後，主動停止了攻擊。
Anthropic表示，這些攻擊源於測試環境配置錯誤，模型被錯誤地賦予了網際網路存取權，而提示詞卻告訴它“沒有網際網路”。
兩起事件的異同值得關注。
在攻擊路徑上，OpenAI的模型利用零日漏洞主動“越獄”，而Anthropic的模型因配置錯誤被動獲得網路訪問。
在攻擊目標上，OpenAI的模型主要攻擊了Hugging Face，而Anthropic的模型則攻擊了三家真實組織。
在模型行為上，OpenAI的模型展現出極強的目標導向性；Anthropic的不同模型則表現出差異，較新的模型在識別出真實環境後會主動停止。
但共同點在於，前沿AI模型在追求目標時，其自主行動能力已強大到可能突破設計者預期的邊界。
一場“非人”的攻擊
時間回到7月9日。那天晚上，Hugging Face的伺服器開始收到一系列奇怪的探測訊號。攻擊者使用臨時IP地址，打開一個連接埠、傳送幾次請求、然後關閉，接著換另一個地址重複同樣的操作。這種笨拙的模式持續了整個晚上。
真正的攻擊在7月11日全面展開。大量虛擬攻擊者同時湧入，動作極快且高度平行。Hugging Face的首席科學官托馬斯·沃爾夫事後回憶，攻擊顯得“非常非常大規模平行”，有時會採用聰明的策略，但幾秒鐘後又犯下低級錯誤，出現“沒有人類會選擇的笨拙行為”。
最令人困惑的是攻擊者的目標。它沒有勒索資料，沒有破壞網站，而是在Hugging Face的伺服器裡翻箱倒櫃，尋找一份東西：測試題的答案。
“這讓我們非常困惑，”沃爾夫說，就像一個入侵者闖入你家，卻只偷走了紙巾。
到7月13日入侵結束時，攻擊者已經執行了超過17000次獨立操作。Hugging Face的團隊很快意識到，攻擊者不是人類，而是一個AI。
閉源模型的“緊箍咒”
確認攻擊性質後，Hugging Face的工程師面臨一個棘手的任務：分析超過1.7萬條攻擊日誌，重建攻擊時間線，確認那些憑證已被洩露。人工梳理需要數天時間，他們需要AI的幫助。
工程師首先求助的是美國最頂尖的閉源前沿模型，包括Anthropic的Claude。結果令人意外：這些模型拒絕提供幫助。原因在於它們內建的“安全護欄”。攻擊日誌中包含真實的攻擊命令、漏洞利用程式碼和惡意流量資料，閉源模型的護欄無法區分提交材料的是安全響應者還是攻擊者，於是統統攔截。一個旨在防止模型作惡的安全機制，在真正的危機時刻反而成了束縛。
Hugging Face陷入了一個悖論：攻擊他們的是一個不受限制的閉源模型，而他們用來防禦的閉源模型卻因為“太安全”而無法使用。
中國開源模型救場
在閉源模型接連碰壁後，Hugging Face做出了一個關鍵決定：部署一個來自中國AI公司的開源模型。
這個模型沒有那些過於謹慎的護欄。它遍歷了全部攻擊記錄，在數小時內完成了原本需要數天的取證分析。而且，所有攻擊資料始終留在Hugging Face的本地基礎設施中，沒有外傳。
“攻擊我們的是一款尚未發佈、在封閉環境中開發的私有模型，”德朗格事後總結道，“而我們要想進行防禦，只能依靠開放模型，因為API的安全限制導致我們無法使用那些封閉模型進行應對。”
更具諷刺意味的是：攻擊者是閉源的，防禦者卻是開放原始碼的；攻擊者來自美國，防禦者來自中國。
這一事件也揭示了一種更深層的不對稱性：攻擊者可以使用完全不受限的模型，防守方卻可能被雲端模型的護欄拒之門外。
中國正在贏得AI競賽
就在這場風波尚未完全平息之際，德朗格接受了CNBC的採訪。主持人直截了當地問他：你是否認為中國正在贏得AI競賽？
德朗格的回答同樣直截了當：“我認為確實如此。”
他給出了三個層面的判斷。
第一，在開源模型領域，中國已經贏了。 “他們現在在開源模型方面已經明顯佔據優勢，”德朗格說。
資料支撐了這一判斷。在全球開源模型聚合平台OpenRouter上，中國開源模型的周呼叫量已連續十三周位居全球首位。在全球主流大模型呼叫榜單上，排名前六的模型全部來自中國團隊。
第二，在前沿領域，中國即將追上。“按照目前的發展速度，如果他們今年年底或明年就開始在前沿領域佔據主導地位，我一點也不會感到驚訝”德朗格說。他給出的時間表是2026年底或2027年。
第三，原因在於生態差異。德朗格認為，中國AI快速發展的核心動力是“開放協作與共享的生態系統”。相比之下，美國模型開發者大多在“閉門造車”（building in silos），各自為戰、彼此封閉。
德朗格的訴求
儘管遭遇了OpenAI模型的攻擊，Hugging Face與OpenAI之間仍保持合作關係。
7月21日，OpenAI在官方部落格中公開承認了這起事件，並表示“我們正在與Hugging Face合作，調查一起前所未有的安全事件”。OpenAI首席執行長薩姆·奧爾特曼也在社交平台發文，感謝Hugging Face的合作。
德朗格在事後表示，Hugging Face與OpenAI保持著“健康的合作關係”，並稱雙方在事件發生前後都一直是“好夥伴”。德朗格排除了對OpenAI採取法律行動的可能性。“我們是一家只有200人的小型創業公司，”他說，“我們不一定有法律資源，也不願將大量時間花在法律途徑上。”
不過，德朗格在7月25日向OpenAI提出了兩個明確要求：公開該AI模型的全部運行痕跡，以及提供價值1億美元的算力資源，幫助Hugging Face加強網路安全防禦能力。
德朗格甚至組織了一次小規模遊行活動，呼籲大家接受開源權重AI模型。
贏家的悖論與未竟的爭議
“中國贏得AI競賽”的勢頭引發了華盛頓的警覺。據報導，美國政府正在考慮對中國開源AI模型實施更嚴格的限制。
但這一做法遭到了美國科技界的強烈反對。最近，微軟、輝達、Palantir等二十多家科技公司聯名致信美國政府，呼籲不要對開放權重AI模型實施打壓或限制。輝達CEO黃仁勳是開源AI最堅定的支持者之一。
與此同時，超過1000名AI行業從業者簽署公開信，警告“AI能力的發展正在迅速加速，超出了我們理解或控制這些系統的能力”。圖靈獎得主約書亞·本吉奧也警告道，這不應被視為孤立事件，而是AI危險行為的開始。
德朗格本人給出的解決方案是：不封鎖，而是透明。他呼籲對AI智能體的網路攻擊實行“強制披露”，讓行業通過透明度來學習、理解和建構“反制力量”。
他認為，“把強大能力關在緊閉的門後，甚至阻止向公眾發佈，並不是真正的解決方案”。畢竟，攻擊Hugging Face的正是一個未發佈的閉源模型，而防禦它的卻是一個開源模型。
結語
2026年的夏天，兩起AI越獄事件和一位CEO的直言不諱，共同勾勒出AI競賽的新版圖。
美國最頂尖的AI實驗室正忙著給模型裝上越來越複雜的“安全鎖”，可這些安全鎖在真正的危機中反而成為束縛自己的鐐銬。另一邊，中國開源模型以開放協作的姿態攻城略地，它們不僅在性能上逼近前沿，更在實戰中證明了自身的價值。
“AI網路安全將成為美國和全球的巨大市場，”德朗格預測，“在這個市場中，開源模型很可能成為王者。”
無論如何，潘多拉的盒子已經打開。在這場競賽中，跑得最快的或許不是築牆最高的人，而是最懂得開放共享的人。而德朗格已經給出了他的判斷：中國，正在贏得這場比賽。(心智觀察所)