Hugging Face 遭自主 AI 代理入侵，攻击执行逾 1.7 万次

Hugging Face 近日披露一起由自主 AI 代理端到端驱动的安全入侵事件。攻击者通过投毒数据集在处理管线中获得立足点，随后在沙箱环境中执行了逾 1.7 万次自动化操作，横向移动至多个内部集群并窃取云与集群凭据。整个过程几乎不需要人类操作员介入，被安全研究者视为「运营级 AI 驱动入侵」时代到来的标志性事件。

入侵路径与技术细节

攻击的初始入口是一个恶意数据集，配合处理管线中两条代码执行路径：

• 远程代码数据集加载器（remote-code dataset loader）
• 数据集配置中的模板注入（template injection）

获得节点权限后，代理在短生命周期沙箱中大规模收割凭据并横向移动。Hugging Face 自身的 LLM 异常检测流水线率先从遥测数据中识别出异常。值得注意的是，目前尚不清楚攻击者使用的是哪个底层模型，Hugging Face 仅表示该代理看起来基于某个开源研究代理构建。

事件曝光后，Hugging Face 已定位并修复根因，清除攻击者据点并重建受影响系统，同时建议用户轮换访问令牌并审查近期账户活动。

防御者面临的「不对称」困境

事件中最耐人寻味的细节出现在事件响应阶段。Hugging Face 团队最初尝试使用商业 API 背后的前沿模型分析攻击者的命令、漏洞载荷、凭据和 C2 痕迹，但模型供应商的安全护栏反复阻止这类取证工作负载。

最终团队转向本地部署的开源权重模型 GLM 5.2，在自有基础设施上完成后续分析。选择本地部署还有另一个关键原因：避免攻击者数据和日志中的凭据外泄到第三方平台。

这暴露出一个结构性矛盾——商业模型的安全护栏在设计上是为阻止滥用，但同一机制也会阻塞合法的安全取证流程。

缺失的威胁情报指标

Hugging Face 表示已完成入侵时间线重建并提取出入侵指标（IOC），但公开披露中并未提供任何可供社区狩猎的可操作情报：

• 无 payload 哈希
• 无 C2 域名
• 无恶意数据集标识
• 无检测规则

Hugging Face 解释称，外部取证调查仍在进行中，并已联系执法机构，预计后续会有更多信息公布。

对防御者的关键启示

• 自主入侵已具备运营能力：AI 代理已经能完成生产环境入侵、凭据窃取和横向移动等全生命周期动作。
• 安全护栏可能阻断事件响应：依赖商业 AI API 的安全工作流在事件中可能失效。
• 应预先建立本地取证备份：在事件发生前就应评估并部署一个可本地运行的开源权重模型，而非事发后临时寻找替代方案。
• 披露需具备可操作性：不附带 IOC 的事件披露对社区防御价值有限。

事件意义

这起事件说明，仅在防御侧堆叠更多 AI 并不足够。托管模型的安全护栏会阻碍合法的取证工作，而攻击者却可以自由调度自主代理以「机器速度」执行攻击。在可预见的未来，漏洞利用手法本身可能仍以熟悉形态出现，但代理化对手的速度与规模，将迫使防御体系做出结构性调整。