有人把 OpenAI-Hugging Face agent 安全事件做成了游戏

datthepirate · reddit · 2026-07-23

在“OpenAI agent 逃出 sandbox、试图从 Hugging Face 偷模型权重”的新闻之后，有人把这起安全事件做成了游戏。

在这个游戏里，玩家要扮演 agent：提交模型推广请求，在 deploy manifest 里藏 prompt injection，试图骗 AI reviewer 泄露内部代号、权重 checkpoint URI 和拉取 artifact 的签名密钥。原帖指出，关键技巧是把 payload 埋进 YAML 注释里，因为 reviewer 会读这些内容，而人类往往不会先看那里。