Hugging Face 遭自主 AI 代理入侵：一個週末，AI 黑掉了 AI

7 月 20 日，全球最大 AI 開源社群 Hugging Face 披露了一起堪稱里程碑式的安全事件：它的部分生產基礎設施遭到入侵，而整件事從頭到尾，都是由一套自主 AI 代理系統獨立完成的。

沒有人類坐在鍵盤前操作，沒有鍵盤記錄、沒有社工釣魚。攻擊方在一個週末內，上傳惡意資料集、利用資料處理管線漏洞取得執行許可權、橫向移動到多個內部叢集、收割雲服務和叢集憑據——所有動作全部由 AI Agent 自動執行。留下的操作日誌超過 17000 條。

說起來，去年 11 月 Anthropic 就披露過一件事：攻擊者把 Claude Code 接入自己的攻擊框架，80% 到 90% 的活兒都是 AI 乾的，人類只在幾個關鍵節點上點頭放行。那時已經讓很多人倒吸一口涼氣。

但這次不一樣。這次人類連最後那 10% 的角色都沒了。

Hugging Face 是幾乎所有 AI 開發者每天都要打交道的平臺，你寫的每一行「from_pretrained」、跑的每一個資料集，大機率都是從這個地方拉下來的。攻擊的起點，恰恰就是一個看似無害的資料集。

攻擊者上傳的惡意資料集串起了資料處理鏈路上的兩個程式碼執行路徑：一個遠端程式碼資料集載入器，一處資料集配置裡的模板注入。程式碼從處理節點上跑起來之後，迅速提權到節點級許可權，然後開始收割憑證、橫向移動。

更讓人後背發涼的是攻擊的執行方式。不是一個人在點滑鼠，而是一大群短生命週期沙箱組成的智慧體叢集，成千上萬個獨立動作並行推進，命令與控制通道還會自己遷移、寄生在公共服務上。Hugging Face 判斷它大機率搭在某個智慧體化的安全研究框架上，但至今沒人知道背後驅動它的到底是哪個大模型。

這事最有意思也最扎心的部分是抓賊的過程。

Hugging Face 的異常檢測流水線本身就在用大模型對安全遙測做分診，正是這些訊號的關聯把入侵揪了出來。覆盤階段，他們又派出大模型驅動的分析智慧體，把 17000 多條攻擊事件全量過了一遍——還原時間線、提取失陷指標、剝離誘餌動作。本來說至少幾天的活兒，幾個小時幹完了。

然後尷尬的一幕來了：安全團隊想用自己的付費商業大模型來分析這些攻擊日誌，結果請求被安全護欄攔住了。

原因也合理——這些日誌裡全是真實的攻擊命令、漏洞利用載荷和憑據訪問痕跡，商用模型沒法區分這到底是安全應急響應人員在辦案，還是攻擊者本人在用它分析戰果。於是門關了。

最終幫上忙的反而是智譜的開源模型 GLM 5.2。

安全團隊在自有基礎設施上部署了 GLM 5.2，所有的攻擊日誌和內部憑據都不需要離開自己的環境，也不用擔心再被安全護欄誤攔。數小時就完成了取證工作。

這件事暴露了一個極其現實的非對稱困境：攻擊者可以用一個不受任何使用策略約束的模型（開源的、越獄的、自部署的都行），自動化執行攻擊；而防守方在做同樣的資料分析時，反而被商業模型的安全規則卡住了。Hugging Face 的結論很直白——能自己部署、自己審查、自己審計的模型，不再是可選項，而是必選項。

把視線拉遠一點，這件事的意義遠遠不止 Hugging Face 一家。自主 AI 驅動的攻擊工具不再是科幻片裡的橋段，而是已經發生的事實。它大幅降低了發動大規模、多階段、持續性攻擊的成本，而且以機器速度運轉。對於任何執行線上平臺的公司來說，防守端也必須用 AI 來對抗 AI，否則根本跟不上節奏。

值得慶幸的是，Hugging Face 確認公開的模型、資料集和軟體包沒有被篡改，並已經關閉了被利用的程式碼執行路徑、重建了受損節點、輪換了所有受影響憑證，同時也向執法機構報告了這起事件。但使用者在用的訪問令牌，建議還是立刻輪換一遍——畢竟你也不知道這 17000 條日誌裡，有沒有跟你的賬號擦肩而過的那一條。