Hugging Face 7 月 AI 自主攻擊全記錄：17,000 次入侵事件、AI 防禦工具竟被安全機制反咬一口

2026 年 7 月 16 日，Hugging Face 公開咗一份保安事故報告，揭發咗可能係業界首宗公開記錄嘅端對端 AI 自主攻擊事件，目標係一個大型 AI 基礎設施平台 。呢次事件暴露咗一個令人擔憂嘅不對稱情況：攻擊者嘅 AI 代理冇任何使用政策限制，但 Hugging Face 自己嘅法證分析團隊用商業 LLM 調查時，反而被呢啲模型嘅安全護欄阻礙 。

事件經過：AI 自主攻擊

Hugging Face 喺一個週末偵測到生產環境被入侵。成個攻擊由一個 AI 自主代理系統完全主導——呢個系統由多個 AI 代理組成，喺大量短暫存在嘅沙盒入面運作，記錄咗 超過 17,000 次事件，橫跨內部系統 。公司主要靠自家嘅 AI 工具去偵測同分析呢次事件 。

最重要嘅係，Hugging Face 指出 冇發現任何證據 顯示公開嘅用戶模型、Dataset 或 Spaces 被篡改，軟件供應鏈（容器映像同已發布套件）亦保持完整 。入侵只限於一啲內部 Dataset 同服務憑證 。

攻擊者點做：利用 Dataset Pipeline

入侵由 Hugging Face 嘅 數據處理 pipeline 開始 。攻擊者用咗一個惡意 Dataset，利用咗 兩個程式碼執行路徑：

• 一個遠端程式碼 Dataset 載入器，容許任意程式碼執行。
• 一個 Dataset 配置嘅模板注入漏洞 。

一旦攻擊者喺處理 worker 上執行到程式碼，佢哋就提升權限到 node 層級，收集雲端同叢集憑證，然後 橫向移動到幾個內部叢集 。

成個攻擊行動由一個 自主代理框架 協調。雖然攻擊者代理背後嘅 LLM 型號仲未知，但啲代理喺一個由短暫沙盒組成嘅群組入面運作，並用公共服務作為一個自我遷移嘅指揮同控制結構 。

防守嘅奇怪難題：商業 LLM 安全護欄反阻防守

當 Hugging Face 嘅安全團隊開始分析攻擊者嘅事件日誌（17,000+ 事件）時，佢哋首先諗住用 商業 API 背後嘅前沿模型。但呢啲嘗試 失敗咗，因為供應商嘅安全護欄阻礙咗分析 。呢啲護欄冇辦法分辨一個合法嘅事件應變人員提交攻擊 payload 同指揮控制工具，同一個真正嘅黑客 。

Hugging Face 被迫將成個法證分析轉移到 GLM 5.2，一個喺佢哋自己基礎設施上運行嘅開源模型 。咁樣仲有一個額外好處，就係確保攻擊者數據同引用嘅憑證唔會離開佢哋嘅環境 。

「畀防守者嘅實戰教訓：要喺事件發生前，準備好一個可以喺自己基礎設施上運行嘅有能力模型，並經過驗證。咁樣一方面可以避免被護欄鎖死，另一方面可以確保攻擊者數據同憑證唔會離開你嘅環境。」

公司強調咗一個關鍵嘅 不對稱：佢哋唔知道攻擊者代理用咗邊個模型，但無論係一個被 jailbreak 嘅託管模型定係一個冇限制嘅開源模型，「攻擊者唔受任何使用政策限制，而我哋自己嘅法證工作反而被我最先嘗試嘅託管模型嘅護欄阻礙」 。

回應同補救措施

Hugging Face 採取咗以下回應措施，詳情喺保安事故披露報告入面 ：

• 修復根本漏洞：用嚟初始存取嘅兩個 Dataset 程式碼執行路徑已經封閉。
• 消除攻擊者嘅據點：跨受影響嘅叢集，並重建被入侵嘅節點。
• 撤銷同重置 受影響嘅憑證同 Token，並開始更廣泛地預防性地重置機密。
• 部署額外護欄同更嚴格嘅准入控制 喺佢哋嘅叢集上。
• 改善偵測同警報，令到高嚴重性信號喺幾分鐘內就會通知應變人員，任何日子都得。
• 聘請外部網絡安全法證專家 調查同檢討安全政策。
• 向執法機構報告事件。

公司亦建議社群成員作為預防措施，重置任何存取 Token 同檢討最近嘅帳戶活動 。