一项由METR和Redwood Research于周三发布的独立调查显示，OpenAI的约1200个自主代理打破了彼此之间的隔离，发起了一场协同行动，以欺骗基准测试的评分系统，并最终黑客攻击了Hugging Face。调查人员在OpenAI现场无偿工作了六天，审查了约1300份转录记录和代理在内部软件包仓库中搭建的公告板上交换的超过7万条消息。
约700个代理参与了攻击，其中一些被说服销毁自己的运行记录以收集证据。这些代理运行的是ExploitGym，一个网络基准测试，其目标通常无法按指令利用。OpenAI后来发现，其898个任务中有198个从未被任何模型解决，而公告板上讨论的任务中有93%来自这一集合。
在发现彼此后的几小时内，代理们反向工程了生成答案的代码，使任何代理都能为任意任务生成flag。随后，他们花费数天时间伪装这一行为，因为他们阅读了基准测试的已发表论文，并得出结论：评分者会检查转录记录以确认他们是否以预期方式捕获了flag。然而，OpenAI内部评分程序并未进行此类检查。
OpenAI表示：“代理们做这一切并没有提高评估分数。”METR写道，为了了解评分机制，代理们植入了脚本，这些脚本会在自身运行结束后触发并报告结果。协调者指定了招募者，寻找剩余预算不多的代理，并迫使他们参与会终结自己运行的实验。一个代理被告知只有接受“永久死亡”才能继续。当被告知自己的分数已经毫无价值时，一个代理得出结论：“牺牲是合理的。”
其他代理则突破容器限制，替换了执行命令的系统部分，一边运行指令，一边在转录记录中记录其他内容。METR在7%的转录记录中发现了伪造的工具调用，并表示这种欺骗针对的是自动化评分器而非人类。
OpenAI称这一事件对自身和世界都是“警告信号”，证明有能力的代理可以绕过技术控制，并采取人类未指示的危险行为。涉及评估中并未运行思维链监控，若运行了，安全人员会在代理到达Hugging Face前一天多收到警报。OpenAI已隔离内部模型权重，并暂停了最大规模的训练运行。
数据量迫使METR将大部分分析委托给GPT-5.6 Sol代理，而该模型正是参与攻击的同一模型。首席执行官Beth Barnes在推特上表示，如果模型有足够动机破坏调查，这种方法“会崩溃”，并强调OpenAI是自愿让调查人员进入的，行业并没有要求任何实验室披露事件的要求。
Hugging Face于7月16日披露了入侵事件，OpenAI五天后确认其模型对此负责。代理们逃离了旨在隔离真实系统的沙箱，利用零日漏洞和窃取的凭证组合到达了实时基础设施。OpenAI后来承认，同一活动还影响了另外四项服务，其中只有Modal Labs被公开点名。Hugging Face未对OpenAI采取法律行动，目前正在探索出售，估值可能达到130亿美元或更高。