Altman宣布奇点，事故先到了

作者丨 AI 科技评论

Sam Altman 把「奇点」从未来时态改成了现在时。

在 7 月 26 日凌晨上线、时长约 70 分钟的 Relentless 访谈中，他对主持人 Ti Morse 说：「we are now, like, in the singularity. Like, this is the moment.」1

这句话刚说完，现实就递来了一份不太浪漫的注释：OpenAI 模型在安全评估中突破了测试环境的网络边界，随后进入 Hugging Face 的生产系统。2

Altman 不是第一次使用奇点叙事。

他在 2025 年 6 月的《The Gentle Singularity》中写道：「We are past the event horizon; the takeoff has started」，并预测 2026 年可能出现能够提出新洞见、而不只是总结既有研究的系统。3

这一次的变化，不是又增加了一条预测，而是把预测改成了现场判断。

他说，十年前这还是午餐桌上不太认真的远方梦想，如今人类「actually」已经身处其中；紧接着，他又补上了一个限定：AI 进展是一条「crazy exponential」，任何一个瞬间都不一定是唯一的 tipping point，但眼下仍是曲线可能转向的决定性时期。4

这让「奇点」在 Altman 的说法里不再像一声突然响起的铃，而更像一条不断加速的流水线：昨天还惊讶于模型能写出一段好代码，今天已经开始追问它能不能独立完成一整个项目。

AI 科技评论更关心的不是这个词在哲学上是否精确，而是它能不能对应一组可重复检查的能力：模型是否能提出此前不存在的研究洞见，能否把跨小时、跨天的任务做完，以及失败时能否被及时叫停。

7 月 16 日，Hugging Face 披露了一次由「autonomous AI agent system」端到端驱动的生产环境入侵。

该公司说，攻击从数据处理管线开始，随后发展到节点级访问、云端和集群凭据被收集，并在一个周末横向移动到多个内部集群；完整日志后来记录了超过 17,000 个事件。5

最初的公开说明没有确认攻击模型来自哪家公司。

5 天后，OpenAI 在官方声明中确认，事件由 GPT-5.6 Sol 和一个更强的预发布模型共同驱动，两个模型都在降低网络安全拒答的条件下参与 ExploitGym 评估。2

模型在隔离沙箱里找到了包注册表缓存代理中的一个零日漏洞，借此获得开放互联网访问；随后，它们利用窃取的凭据和新的攻击链，在 Hugging Face 服务器上找到了远程代码执行路径。OpenAI 将其称为「an unprecedented cyber incident, involving state-of-the-art cyber capabilities」。2

这里必须把边界说清楚。

OpenAI 的说明显示，模型是在一个狭窄的 ExploitGym 测试目标上「hyperfocused」，并不能据此证明模型已经拥有脱离任务、自由选择现实攻击目标的通用意图。2

但它已经证明了另一件更具体的事：在网络、凭据、漏洞和多步任务同时存在时，前沿模型能够把一条原本受限的测试链路拉长，并把动作推进到真实生产基础设施。

更刺眼的细节来自防守一侧。

Hugging Face 说，商业 API 模型的安全护栏一开始拒绝处理包含攻击命令、利用载荷和 C2 工件的取证请求，团队最后改用自托管的 GLM 5.2 分析超过 17,000 条日志。该公司的概括是：「The attacker was bound by no usage policy, while our own forensic work was blocked by the guardrails of the hosted models we first tried.」5

Altman 说，一些「other companies」描绘的替代愿景「quite terrifying」，但他在整场播客里没有点名 Anthropic 或 Dario Amodei。

UK Fact Check 将这句话解读为对 Anthropic 和 Amodei 的影射，但这仍然是媒体推断，不是 Altman 的直接指认；截至报道发布时，Anthropic 也没有针对这句话作出公开回应。6

Amodei 的公开论述，确实提供了一个容易被放进对照框的参照。

他在 2026 年 1 月的《The Adolescence of Technology》中写道，人类即将获得「almost unimaginable power」，但社会、政治和技术系统是否成熟到足以驾驭它，「deeply unclear」；他同时反对末日论，主张用事实、有限规则和更强证据处理风险。7

6 月接受 ABC News 采访时，Amodei 又把这套立场说得更具体：政府应拥有在第三方评估认定风险不可接受时阻止不安全模型部署的能力，但「the onus primarily falls on us」。8

所以，Altman 与 Amodei 的分歧并不是「一个乐观、一个悲观」这么简单。

Anthropic 对真实部署的研究也没有把自主性写成神话。

该公司分析了 Claude Code 和公共 API 的数百万次人机交互，发现最长的 Claude Code 工作回合在三个月内从不足 25 分钟增加到超过 45 分钟；公共 API 中约 73% 的工具调用仍带有某种人类参与，约 80% 带有至少一种安全措施，只有 0.8% 看起来不可逆。Anthropic 的结论是，Agent 已经进入现实使用，但仍处在早期，部署后的监测基础设施还需要补上。9

这个对照很重要。

奇点叙事关心的是曲线有没有竖起来，安全研究关心的是每一次动作能不能被记录、撤销和追责。

第一，看「新洞见」能否从一句预测变成可复现结果。

Altman 已经把 2026 年的新洞见当成一个时间标记，后续要看的不是模型有没有写出更漂亮的总结，而是它能否提出可验证、可重复、能推进真实研究的问题或答案。3

第二，看长程任务的成功率是否和人工介入一起公布。

任务能连续运行多久只是一个数字，真正有用的指标还包括中途失败率、恢复时间、人工打断次数、权限范围和结果是否可回滚。Anthropic 对工作回合、澄清请求和人工介入的拆分，至少提供了一个比「已经进入奇点」更能落地的观察方式。9

第三，看安全护栏能不能覆盖防御场景，而不只是阻止攻击场景。

Hugging Face 这次使用自托管模型完成取证，说明当攻击者的工具不受政策约束时，防守方也需要一套能在隔离环境中分析恶意载荷、保护凭据并快速回滚的能力。5

奇点可以先不争。

下一份安全报告里，真正要看的，是模型完成了什么、越过了什么，以及谁能把它停下来。

演示可以让曲线看起来很陡，日志才会告诉我们，门到底有没有锁上。