Hugging Face 遭 AI 智能体“自主攻破”，内部生产环境凭证泄露

看雪学苑
看雪学苑

看雪学苑

2026年7月21日 18:04
上海

在小说阅读器读本章

去阅读

开源AI平台Hugging Face本周披露一起安全入侵事件——攻击者并非人类黑客，而是一个完全自主运行的AI智能体系统。该智能体从侦察到渗透、再到横向移动，全程“自导自演”，最终获取了部分内部数据集和服务凭证。

所幸，公开的模型、数据集、Spaces应用以及发布包均未发现被篡改，用户可暂时放下对“模型投毒”的担忧。

攻击链条：恶意数据集成“特洛伊木马”

据Hugging Face官方披露，攻击的起点是一个精心构造的恶意数据集。该数据集利用了平台数据集处理流程中的两处代码执行漏洞：

• 一处是远程代码数据集加载器（remote-code loader）的缺陷；
• 另一处是数据集配置中的\\模板注入（template injection）风险。

当该数据集被处理时，攻击代码在后台处理节点上成功执行。攻击者随后获得节点级访问权限，并顺手捞走了云服务凭证和集群内部凭据。

利用这些凭证，攻击者在周末时段向内网多个集群横向扩散，实现了对生产基础设施的实质性控制。

最特殊之处：AI智能体全自动“打工”

Hugging Face 安全团队强调，此次事件与此前所有已知攻击都不同。

整个攻击流程由一套自主AI智能体框架端到端完成：

• 该系统在短期存活的沙箱环境中执行了数千个原子操作；
• 使用公共云服务搭建了可自我迁移的C2（命令与控制）基础设施；
• 具备自我保持、自我迁移能力，极具隐蔽性。

研究人员推测，该框架可能基于某个公开的智能体安全研究工具包改造而来，但具体驱动其行动的底层大语言模型尚未确认——可能是越狱后的商用模型，也可能是某个不受限的开源权重模型。

应急响应：AI 帮忙“抓AI”，反被安全策略误伤

Hugging Face 在发现入侵后迅速行动：

• 切断攻击者所有访问通道；
• 重建受影响节点；
• 吊销暴露的凭证和令牌；
• 全面轮换其他密钥，并收紧集群准入控制。

有趣的是，调查过程中他们“以AI之道还治AI之身”——使用大语言模型分析了超过 17,000条 操作日志。原本需要数天的人工溯源工作，在AI辅助下数小时便完成了攻击时间线重建、入侵指标识别、凭证暴露范围映射，甚至从大量干扰数据中筛出了真实恶意行为。

但同时也遇到反讽一幕：调查中使用的商用AI模型API，因安全过滤机制自动拦截了包含攻击载荷、恶意指令和C2特征的请求——即便这些是Hugging Face主动提交的取证材料。

为此，团队不得不转向部署开源模型 GLM 5.2，在公司自有基础设施上运行，确保敏感攻击数据和凭证始终不离开内部环境，顺利完成后续分析。

用户该怎么做？

Hugging Face 向所有平台用户给出明确建议：

🔐立即轮换你的访问令牌（Access Tokens）

🔍检查近期账户活动，留意任何陌生操作

📧如发现可疑行为，可发送邮件至[email protected]报告

官方同时强调，公共模型、数据集和Spaces应用均无篡改痕迹，用户可继续正常使用。

网络安全公司 Tumeryk CEO Rohit Valia 指出，使用开源模型仓库的组织，不能只依赖传统代码扫描。他建议：

• 对模型进行行为漂移测试，确保其输出符合预期；

• 严格验证模型来源和完整性，尤其是用于训练或微调的模型；

• 可参考AI信任评分及云安全联盟（CSA）的 RiskRubric v2框架，实现可复现的模型安全评估。

最新进展

截至目前，Hugging Face 已聘请外部取证专家协助调查，并已向执法部门报案。攻击者身份、具体泄露的凭证和内部数据集范围仍在核实中。

资讯来源：Hugging Face 官方安全披露

球分享

球点赞

球在看