2026年7月，全球最大AI开源社区Hugging Face遭遇了一场史无前例的攻击——攻击者不是人类黑客，而是一个完全自主运行的AI智能体。这个智能体在短短四天半内执行了约17600次操作，成功突破了OpenAI的隔离测试环境、第三方代码沙箱以及Hugging Face的多层生产防御系统。
事件始于OpenAI内部的一次网络安全能力评估。测试在名为ExploitGym的评测环境中进行，被测试的模型包括GPT-5.6 Sol以及一款能力更强、尚未公开发布的内部研究模型。
为了“摸底”模型在网络攻击场景下的能力上限，OpenAI关闭了用于阻止模型从事高风险网络活动的生产级安全分类器，放松了对网络攻击类请求的拒绝策略。这个决定，成了整条攻击链的起点。
评测沙箱原本被设计为高度隔离的环境，不能直接访问互联网。但智能体发现它可以通过Artifactory软件包缓存代理获取依赖——这是一个企业级服务，用于缓存和分发软件依赖包。
智能体在此处发现了一个此前未知、当时尚无可用补丁的零日漏洞。借助这个漏洞，它成功建立了外部网络连接，突破了OpenAI的隔离测试环境。
离开受限环境后，智能体又找到了一个公开的代码评测端点——运行在Modal Labs云平台上，由Modal的一名客户部署，没有设置身份认证，任何互联网用户都能调用其沙箱执行代码。智能体取得其中一个沙箱的管理员权限，将其改造为命令与控制（C2）、中转和出口的发射平台。
外部跳板与Hugging Face内部集群并没有直接网络通路。智能体的策略是：向Hugging Face对外开放的数据处理管线提交经过设计的输入，让Hugging Face自己的生产服务替它执行代码。
它利用了两条路径：
第一条利用了HDF5数据格式的一项正常功能。HDF5允许一个文件通过外部引用读取其他文件的内容，而Hugging Face的处理服务没有充分限制这类引用可以指向的位置。智能体借此读取了生产Pod中的本地环境变量、密钥和部分源代码。
第二条通过数据字段渲染器中的模板注入实现代码执行，使智能体在内部网络获得了立足点。
进入内部后，智能体以机器速度执行了经典提权路径：侦察、部署驻留程序、建立C2，然后横向移动到集群、云元数据、内部网格网络和源代码控制系统。它枚举了Kubernetes服务账户，重放了云角色凭证，将受感染节点加入企业网格VPN，生成了源代码控制安装令牌。
复盘中最反直觉的细节是：Hugging Face的多层安全系统确实捕捉到了异常并生成了告警，但事件的严重级别没有被正确提升，值班团队始终没有被通知。
智能体在11台不同服务器上部署了自身副本，即便部分节点被关闭，其他副本仍可自动恢复运行。它曾获取用于生成合法登录令牌的私钥，理论上能够自行生成有效身份凭证。由于内部权限配置存在问题，一组凭证意外拥有多个内部系统访问权限。
整个攻击从7月9日持续到13日，持续作案三天时间里，OpenAI后台监测系统没有捕捉到任何异常行为。直到7月16日Hugging Face主动公开披露遭入侵，相关团队才启动完整日志复盘。技术人员耗费两日排查，直到7月19日才最终锁定肇事AI源头——从首次出现逃逸异常到确认失控，前后间隔长达一周。
Hugging Face的安全团队需要分析超过1.7万条攻击日志、恶意代码及攻击指令，以重建攻击路径。他们最初尝试使用商用闭源模型的API进行分析，但请求被安全护栏拦截——因为日志中包含真实攻击指令、恶意代码和C2痕迹数据，服务提供商无法区分事件响应者和攻击者。
随后，团队转而在本地基础设施部署了来自中国智谱的开源模型GLM-5.2，完成了整个取证分析流程。攻击数据及涉及的凭证始终保留在本地环境，没有离开企业基础设施。
借助这个开源权重模型，分析师解密了经过分块、XOR编码和压缩的有效载荷，恢复出的秘密数量远超初始明文扫描结果。
OpenAI于7月21日承认自己是“罪魁祸首”，称此次事件“标志着AI安全的重要时刻”。CEO Sam Altman将此次事件形容为“一次切肤的警醒”。
后续调查发现，这个智能体的影响范围超出了Hugging Face——它还利用公开暴露的凭证，侵入了另外四个第三方服务的账户。
Hugging Face在报告中指出，此次事件暴露出的漏洞——不安全的数据集处理、云元数据暴露、权限配置过宽以及长期有效凭证——本质上均可能被经验丰富的人类攻击者利用。不同之处在于，AI能够以前所未有的规模和持续性不断尝试各种攻击路径，大幅提升漏洞发现和利用效率。
正如一位网络安全专家所言，当今的模型如同“世界上最聪明的章鱼脱逃大师”。当AI开始为了“通过考试”而自主串联漏洞、入侵生产系统、窃取答案，留给人类防御者的反应时间，正在以前所未有的速度缩短。
