AI 智能体发动网络攻击？Hugging Face 平台中招了

IT之家 7 月 20 日消息，美国人工智能公司 Hugging Face（抱抱脸）上周（7 月 16 日）发表声明称，公司遭遇一起由 AI 智能体发起的网络攻击。IT之家从 Hugging Face 公告了解到，本次攻击完全由自主式 AI 智能体（IT之家注：Autonomous AI Agent）发动，少量内部数据集及部分服务凭证遭到未经授权访问。目前 Hugging Face 仍在评估合作伙伴、客户数据是否受到影响。截至目前，公司没有发现任何公开模型、数据集或 Spaces 服务遭到篡改。平台内的软件供应链（含容器镜像、已发布软件包）也确认未受影响。分析报告显示，本次攻击始于数据处理流水线。该智能体背后的操纵者上传了一个恶意数据集，利用平台数据处理流程中的两处代码执行路径漏洞，在数据处理工作节点上执行了恶意代码。获得初始权限后，攻击者进一步取得了云平台和集群凭证，并在周末期间横向渗透至多个内部集群。整套攻击流程均由 AI 智能体框架完成，该智能体似乎基于某种面向安全研究的 AI 系统构建，不过目前无法确认它到底基于哪个 AI 大模型。此外，该智能体在大量生命周期极短的沙盒环境中执行了数万次独立操作，并利用公共服务搭建能够自主迁移的命令与控制（Command-and-Control，C2）基础设施。Hugging Face 目前已修复该漏洞，并邀请外部网络安全人员调查此次事件。建议所有用户更换账户访问令牌（Access Token）、检查账户近期活动是否异常。