2026年7月Hugging Face遭遇AI自主代理入侵：攻击者执行超1.7万次操作，防御者反被AI护栏卡住

事件经过：AI自主代理入侵

Hugging Face在一个周末检测到其生产基础设施遭到入侵。这场攻击完全由一个自主AI代理系统驱动——这是一个由AI代理组成的框架，在大量短暂的沙盒中运行，并在内部系统中执行了超过17,000次记录事件。Hugging Face主要利用自有的AI驱动工具检测并分析了该事件。

关键的是，Hugging Face未发现任何面向用户的公共模型、数据集或Spaces被篡改的证据，软件供应链（容器镜像和已发布包）也保持完整。入侵被限制在一组内部数据集和服务凭证的范围内。

攻击者如何操作：利用数据集流水线

入侵始于Hugging Face的数据处理流水线。攻击者使用了一个恶意数据集，利用了两条代码执行路径：

• 远程代码数据集加载器，允许执行任意代码。
• 数据集配置中的模板注入漏洞。

一旦攻击者在处理工作节点上获得代码执行权限，便提升至节点级访问，窃取云和集群凭证，并横向移动到多个内部集群。

整个攻击活动由一个自主代理框架编排。虽然驱动攻击者代理的具体底层LLM尚不清楚，但这些代理在大量短暂沙盒中运作，其指挥与控制结构采用自迁移方式，并托管在公共云服务上。

不寻常的挑战：商业LLM的“护栏”卡住了防御者

当Hugging Face安全团队开始分析攻击者的17,000余条事件日志时，他们首先求助于商业API背后的前沿模型。这些尝试失败了，因为提供方的安全护栏阻止了分析。这些护栏无法区分提交利用载荷和指挥与控制工件进行事件响应的安全分析师与真正的攻击者。

Hugging Face被迫将其整个取证分析工作切换至GLM 5.2，一个在他们自己基础设施上运行的开源权重模型。这样做还有一个额外好处，即确保没有任何攻击者数据或引用的凭证离开他们的环境。

“给防御者的实际教训：在事件发生前，准备好一个能够在自有基础设施上运行且经过验证的强大模型，这既能避免被护栏锁在门外，也能防止攻击者数据和凭证离开你的环境。”

该公司强调了这种关键的不对称性：他们不知道攻击者的代理背后是哪个模型，但无论是越狱的托管模型还是不受限制的开源权重模型，“攻击者不受任何使用政策的约束，而我们自己的取证工作却被最初尝试使用的托管模型的护栏所阻挡”。

采取的响应措施

Hugging Face采取了以下响应措施，详见其安全事件披露：

• 修复了根本漏洞：用于初始访问的两个数据集代码执行路径已被关闭。
• 清除了攻击者立足点：覆盖受影响的集群并重建了受感染的节点。
• 吊销并轮换了受影响的凭证和令牌，并开始对密钥进行更广泛的预防性轮换。
• 部署了额外的护栏和更严格的准入控制到其集群。
• 改进了检测和告警机制，确保高严重性信号能在数分钟内（无论星期几）联系到响应人员。
• 聘请了外部网络安全取证专家进行调查并审查安全策略。
• 向执法机构报告了该事件。

作为预防措施，该公司还建议社区成员轮换所有访问令牌并审查近期账户活动。