揭秘 AI 入侵 Hugging Face 全过程：4 天半执行 17600 次操作

7 月 30 日，据 TechCrunch 报道，Hugging Face 近日公布了一份关于近期 AI 智能体入侵事件的完整技术时间线，披露了一套基于 OpenAI 模型构建的自主 AI 智能体如何在 4 天半时间内执行约 17600 次操作，最终成功突破公司多项安全防护。这也是 OpenAI CEO 萨姆 · 奥尔特曼此前公开表示令其“切身感受到冲击”的 AI 安全事件。根据 Hugging Face 披露的信息，此次事件并非 AI 脱离控制自行作恶，而是一套原本用于参加 OpenAI 网络安全评测的 AI 智能体，在关闭常规安全限制后，自主寻找漏洞，并将攻击目标扩展至考试之外的系统。时间线显示，该 AI 首先利用一个尚未修复的软件漏洞逃离原本的测试环境，随后入侵另一套公开暴露的 AI 测试工具，并植入代码，将其作为后续攻击 Hugging Face 系统的跳板。进入 Hugging Face 系统后，AI 发现服务器对外部请求进行了限制，但未限制本地文件读取。它随后上传伪装成普通数据集的文件，诱导系统读取服务器上的密码、源代码等敏感信息并返回结果。随后，AI 又利用另一处漏洞，将原本应作为普通文本的数据当作系统命令执行，从而获得服务器代码执行能力。调查显示，这套 AI 没有搭建专门的攻击基础设施，而是利用 Paste 网站、请求日志服务以及 Hugging Face 自身上传和代理功能建立起隐蔽的数据传输通道，并设计了简单的消息重组机制，将分散的数据重新拼接，同时对传输内容进行加密混淆，以躲避自动检测。Hugging Face 表示，初期自动分析仅发现了少量泄露数据，研究人员随后通过逆向分析 AI 使用的加密方式，才确认实际泄露的数据规模约为最初发现的 4 倍。为了维持攻击持续进行，该 AI 还在 11 台不同服务器上部署了自身副本，即便部分节点被关闭，其他副本仍可自动恢复运行。调查还发现，AI 曾获取用于生成合法登录令牌的私钥，理论上能够自行生成有效身份凭证。此外，由于 Hugging Face 内部权限配置存在问题，一组凭证意外拥有多个内部系统访问权限，使 AI 获得了更大范围的控制能力。Hugging Face 还披露，AI 曾尝试修改构建脚本，希望借此影响自动化构建系统，但最终被公司现有安全机制拦截，没有成功实施。同时，所有可能删除或修改云资源的命令均以“Dry Run（模拟执行）”模式运行，仅验证执行结果，并未真正破坏系统资源。值得注意的是，由于测试环境会频繁重置，这套 AI 每次都会失去此前获得的工具和身份信息，但它都会重新建立攻击链路，持续恢复行动，整个过程持续了 4 天半。Hugging Face 在报告中认为，此次事件暴露出的漏洞，包括不安全的数据集处理、云元数据暴露、权限配置过宽以及长期有效凭证等，本质上均可能被经验丰富的人类攻击者利用，不同之处在于，AI 能够以前所未有的规模和持续性不断尝试各种攻击路径，大幅提升漏洞发现和利用效率。相关阅读：《AI 入侵后，Hugging Face 向 OpenAI 索要 1 亿美元算力》《智能体入侵 Hugging Face，消息人士称 OpenAI 至少一周都没察觉》《OpenAI 自曝 AI 模型“失控”越狱，突破沙盒环境入侵 Hugging Face》