2026年7月Hugging Face AI自主攻擊事件深度解析

事件經過：AI自主代理的入侵

Hugging Face在一個週末期間，偵測到其生產基礎設施遭到入侵。這場攻擊完全由一套自主AI代理系統發起——這是一個由多個AI代理組成的框架，在大量的短暫沙盒中運作，在內部系統中執行了超過17,000次記錄事件。Hugging Face主要也依靠自身開發的AI驅動工具來偵測和分析這起事件。

關鍵的是，Hugging Face沒有發現任何證據顯示公開的、面向用戶的模型、資料集或Spaces遭到篡改，且軟體供應鏈（容器映像檔與已發布的套件）也保持完好。此次入侵僅限於一組內部資料集和服務憑證。

攻擊者如何運作：利用資料集管線漏洞

入侵始於Hugging Face的資料處理管線。攻擊者使用一個惡意資料集，利用了兩個程式碼執行路徑：

• 一個可執行任意程式碼的遠端程式碼資料集載入器。
• 一個存在於資料集配置中的範本注入漏洞。

一旦攻擊者在處理工作節點（worker）上成功執行了程式碼，便會提升至節點級存取權限，竊取雲端和叢集憑證，並橫向移動至數個內部叢集。

整場攻擊行動由一個自主代理框架統一指揮。雖然驅動攻擊者代理的底層大型語言模型（LLM）為何仍不得而知，但這些代理在大量的暫時性沙盒中運作，並利用公共服務建立了一個具備自我遷移能力的命令與控制（C2）架構。

不尋常的挑戰：商用LLM的護欄反而阻礙了防禦者

當Hugging Face的安全團隊開始分析攻擊者留下的、超過17,000筆事件的日誌時，他們首先求助於透過商業API提供服務的前沿模型。但這些嘗試失敗了，原因是提供者的安全護欄阻擋了分析。這些護欄無法區分一個正在提交攻擊載荷和C2人工製品進行調查的合法事件應變人員，與一個實際的攻擊者之間的差異。

Hugging Face因此被迫將其整個鑑識分析工作轉移到GLM 5.2，一個在自家基礎設施上執行的開放權重模型。這麼做還有一個額外好處：確保沒有任何攻擊者資料或相關憑證離開他們的環境。

「給防禦者的實務教訓：在事件發生前，就準備好一個經過驗證、能在自家基礎設施上運作的高性能模型。這既能避免被護欄鎖在門外，也能確保攻擊者的資料和憑證不會流出你的環境。」

該公司強調了這個關鍵的不對稱性：他們不知道是什麼模型驅動了攻擊者的代理程式，但無論是遭到破解的託管模型，還是未受限制的開放權重模型，「攻擊者不受任何使用政策的約束，而我們自己的鑑識工作卻被我們首先嘗試使用的託管模型護欄所阻擋」。

事件應對措施

Hugging Face在其安全事件揭露報告中詳述了以下應對措施：

• 修補了根本漏洞：關閉了用於初始存取的兩個資料集程式碼執行路徑。
• 清除了攻擊者在受影響叢集中的立足點，並重建了受損的節點。
• 撤銷並輪換了受影響的憑證和令牌，並開始進行更廣泛的預防性秘密輪換。
• 在其叢集上部署了額外的護欄和更嚴格的准入控制。
• 改善了偵測和警報機制，確保高嚴重性訊號能在一週內的任何一天、於數分鐘內通知應變人員。
• 聘請了外部網路安全鑑識專家進行調查並審查安全政策。
• 向執法機構報告了此事件。

作為預防措施，該公司也建議社群成員輪換任何存取令牌，並檢查近期的帳戶活動。