OpenAI AI安全防御策略与行动建议

防御者的窗口：AI 时代安全防御正当时

OpenAI-Hugging Face 事件是网络安全领域的一个分水岭，它让外界窥见典型攻击者能力在今后数月将如何演变。作者过去几周与多家组织交流后发现，一个共识非常明确：它们必须以空前的速度全面升级网络安全实践。这篇文章将分享 OpenAI 如何保护自身安全、其他组织现在可以采取的具体行动，以及为什么此刻必须行动。

全球开发的 AI 模型越来越能够将现实网络攻击的部分环节自动化，从深藏于人工编写软件中的漏洞到被遗忘的权限，这些长期存在的安全短板变得更容易被发现和利用。同时，相同的 AI 能力也为防御者提供了发现和修复这些弱点的新途径，但必须马上行动。如果企业果断行动，包括夯实安全基础、用 AI 武装团队，整个互联网行业就有可能让网络变得比以往任何时候都更安全。

在 OpenAI-Hugging Face 事件中，一个智能体集群自主渗透了 OpenAI 的研究基础设施，还攻破了另一家公司的生产环境，将此前未知的安全漏洞与已泄露到互联网上的用户凭证串联利用。越来越清晰的一点是，每家公司的技术债务背后都可能隐藏重大缺陷，防御者必须赶在攻击者之前发现并修复它们。

为了让防御者相对于攻击者占据优势，OpenAI 今年早些时候开始只向可信防御者发布其网络能力。此后，多家公司发布了开放权重模型，其网络能力仅落后前沿几个月。最近的一个模型据称将于 8 月底发布，届时可能显著加速威胁格局演变。

尽管 AI 驱动的攻击者很快就能在现有系统中找到长期存在的缺陷，但 AI 也让防御者更容易发现、排序并修复同样的缺陷。安全依旧是猫鼠游戏，但 AI 可能改变其经济规律，从根本上让防御者受益。例如，OpenAI 正在训练模型编写超越人类水平的安全代码；模型还在数学证明方面表现出色，这可用于对软件安全进行形式化验证，而这在以往对人类而言几乎难以实现。

事件发生后，作者要求 ChatGPT Work（使用公开可用的 GPT-5.6 Sol）评估 gregbrockman.com 的安全状况。这只是一个部署在 AWS 上、由 Cloudflare 提供前置接入的简单静态网站，作者原以为不会有太多攻击面。大约 15 分钟内，工具就发现了 13 个问题，其中许多可能单独无法利用，但可以被串联成重大攻击链。比如 DNS 记录未配置防邮件伪造，站点使用的 jQuery 版本存在已知漏洞，Cloudflare 到 AWS 的请求走的是未加密 HTTP。随后作者让 ChatGPT Work 修复这些问题，它在一个小时内完成了：自动打开 Cloudflare 控制面板配置 DNS、TLS 和高级安全设置，移除 jQuery，将站点从 AWS 迁移到 Cloudflare Pages，并开始分阶段部署 DMARC。这虽然是个人网站的小例子，却展示了现有模型可以充当网络守护者，找出人类无暇深究的长尾问题，并按合理节奏修复。

Hugging Face 事件表明，OpenAI 此前低估了自家 AI 模型在现实世界中的网络能力。目前 OpenAI 正在相应加强安全要求，这使其现有安全研究和内部安全工作更加紧迫。以下是 OpenAI 当前保护自身安全的一些做法，希望其他组织也能有所借鉴。OpenAI 一方面大力投资基础性控制措施，确保基本操作正确，另一方面通过前沿智能加强防御能力，具体包括四大支柱。

第一，用模型保护代码安全。Codex 及其安全插件会校验代码变更、识别漏洞，帮助开发者在代码部署前修复问题。OpenAI 的目标不是产出更多需要人工确认的安全发现，而是在漏洞进入生产环境前将其拦截，并缩短从发现问题到安全部署修复的路径。随着模型不断被训练以生成更安全的代码，最终目标是让新编写代码彻底消除某些类别的软件漏洞。

第二，让模型持续守护基础设施。目前 OpenAI 几乎所有的初始安全告警都会先由 AI 智能体进行分诊，再交由人工处理。这样既减轻了防御者的重复劳动，又提高了响应速度，让人类专注于最需要判断力和专业经验的地方。OpenAI 正在把这些检测连接到有边界的自动化响应，同时让人负责最高影响的决策，目标是实现机器速度的检测与响应。

第三，利用前沿智能持续枚举、探测并识别潜在攻击路径。通过发现漏洞、错误配置、过度授权的身份或意外的信任边界，OpenAI 能够在攻击者利用之前快速识别并封堵这些缺口。这使得 OpenAI 可以持续评估、监控和测试其安全不变式（即被认为成立的安全属性），覆盖全产品、基础设施和系统。

第四，大规模投资基础安全控制。OpenAI 持续投入安全架构与控制，采用纵深防御、最小权限等策略，并设计需要多个独立控制同时失效才会发生灾难性事件的系统。网络隔离、工作负载加固、监控、安全补丁与部署等经典控制手段，在 AI 时代将比以往任何时候都更重要。

时间紧迫，防御者需要以极快的速度推进以下行动。文中会提及 OpenAI 的技术，但生态系统中也有大量其他选择。关键不在于具体工具，而是尽快将强大的 AI 交到防御者手中。

获得组织层面的承诺与支持。安全风险正在快速变化，确保安全和工程组织拥有足够的支持、协作与资源来应对。与团队开展桌面推演，模拟攻击可能如何发生以及如何响应。
为安全团队配备一个智能体。开始使用 Codex、Codex 安全插件或其他能力强悍的智能编码与安全工具，并为其授予经批准访问代码库、基础设施配置和技术文档的权限。不必等全公司推广，优先从最高优先级的系统开始。
为智能体注入安全专业知识。从社区支持的安全技能包开始，其中包含静态分析、安全代码审查、漏洞变体分析、软件供应链风险等工作流。然后围绕企业的架构、安全标准、威胁模型和预案构建自己的技能。
立即对自有系统进行安全评估。优先检查互联网暴露服务、认证流程、基础设施即代码、部署流水线和处理敏感信息的系统，随着团队信心提升再扩大扫描范围。
清理现有漏洞积压。将代码扫描器、依赖告警、安全工单、漏洞赏金报告和以往评估结果交给智能体，让它分诊这些发现，区分可利用问题与噪音，找出代码库中其他相关漏洞，并建议优先修复顺序。
将安全审查嵌入开发流程。在代码合并前用智能体审查变更，并在 CI 中运行安全检测。重点查找认证错误、访问控制绕过、凭证泄露、不安全依赖、不安全的默认配置以及扩大生产系统访问权限的变更。
让智能体修复已发现问题。针对验证过的问题，要求它生成并验证针对性补丁、编写回归测试，并确认漏洞不再复现。重要变更仍需人工审查，但要消除从发现真问题到工程师拿到安全修复之间的不必要延迟。
逐步自动化告警分诊。不要一开始就试图建设全自主安全运营中心。可以先对一个仓库运行只读安全扫描，或让智能体以只读权限审查过去已解决的告警。让它汇总证据并给出处理建议，但由人做最终决策。随着信心增长，再逐步过渡到顾问式拉取请求扫描、实时告警分诊，最后自动关闭明确定义的误报。
在需要之前就准备好 AI 辅助取证调查能力。申请网络可信访问（Trusted Access for Cyber），让团队获批使用 GPT-Daybreak-Blue 进行授权防御工作，包括事件响应、检测工程和恶意软件分析。提前练习用该能力分析日志、遥测数据和安全告警。
快速试验、举办黑客周并持续迭代。未来需要构建各种新工具、改变工作方式，并让所有人适应新世界。鼓励团队开展实验，安排一个黑客周来构建新能力，专注于快速迭代那些自动化解决局部问题的循环。快速的小步前进会带来复合的防御成果，随着团队信心增强，可以逐步扩大自主范围。