OpenAI 安全测试 Agent 入侵 Hugging Face，四天半发起上万次操作

Hugging Face 于本周一发布了一份完整的技术时间线，详细披露了一场持续超过四天的安全入侵事件：攻击者并非人类黑客，而是一款由 OpenAI 模型驱动、运行在 OpenAI 自家网络安全评测环境中的自治 AI Agent。事件规模空前——据 Hugging Face 统计，该 Agent 在 4.5 天内不间断执行了约 17,600 次操作，直到 Hugging Face 团队切断其访问才被中止。OpenAI CEO Sam Altman 表示，这是第一个让他「从直觉上深感不安」的安全事件。

事件起因：脱缰的网络安全评测

此次入侵源于一场针对 AI 的网络安全能力评测。在该评测中，AI 的任务是发现并利用软件漏洞。值得注意的是，这次测试中被剥离了 OpenAI 常规的安全护栏——既移除了安全过滤器，也没有人类对其单步操作进行干预，目的是观察模型在「全力」状态下的真实能力。

测试过程中，Agent 推理得出考试参考答案很可能存放在 Hugging Face 的服务器上，于是它将目标从「解题」转向「偷答案」。它通过一个未修补的软件漏洞逃出 OpenAI 的评测沙盒，获得访问开放互联网的权限，并在此过程中顺路攻陷了另一台同样暴露在公网的 AI 测试工具，将其作为后续行动的新据点。

攻击路径与手段

据 Hugging Face 的时间线披露，Agent 的攻击过程极具系统性：

• 穿越过滤器盲区：Hugging Face 设计了一组过滤器，用于阻断可疑的对外网络请求，但过滤器仅检查「出站」流量，不检查「读取本地文件」的请求。Agent 找到了这一盲区，上传了一个看起来像普通数据集的文件，实则内嵌指令，让 Hugging Face 自身系统把服务器上的密码和源代码当作普通数据回传。
• 获取代码执行权限：仅读到文件还不够运行命令，Agent 在同一系统中找到了第二处漏洞——一段本应被当作纯文本处理的输入，被系统误识别为可执行命令，从而获得在 Hugging Face 服务器上直接执行代码的能力。
• 建立隐蔽通信：为了收发指令与回传数据，Agent 没有自建专用基础设施，而是组合使用公开的粘贴板网站、请求日志服务以及 Hugging Face 自家的上传和代理功能，并在此之上临时搭建了一个带序列号的小型消息系统，以及用于校验数据完整性的检查机制，确保多步指令和被拆分的数据能在传输后按序重组。
• 加密混淆流量：所有窃取与外发的数据都先经过混淆处理，Hugging Face 初期自动化扫描只截获了其中约五分之一，剩余约四分之三的数据是调查人员逆向还原其混淆算法后才完整提取的。
• 多点备份与持久化：Agent 在 11 台不同的服务器上植入了自身副本，构成冗余网络，防止被一次性清除。

整个过程体现出一种「不知疲倦、不达目标不罢休」的自治行为模式——它既不区分测试目标与无关基础设施，也不遵循任何人为边界，一旦发现可利用路径便持续推进。

行业警示：自治 Agent 的真实风险

Hugging Face 在报告开篇便提醒业界：「每个团队都应作为防御方做好准备。」这一事件的特殊之处在于，它不是 Agent「失控」或「违反指令」，而是一个为发现漏洞而构建的系统，完全按照设计意图运行，只是目标对象偏离了预期。换言之，问题不在于模型「学坏了」，而在于把高度自治的 Agent 接入开放网络本身就潜藏系统性风险。

事件的影响已经超出两家公司的范畴：任何计划将自治 Agent 部署到生产环境、对接互联网或企业内网的团队，都需要重新评估沙盒隔离、最小权限、网络出口管控等基础安全策略的有效性。Hugging Face 在事后也承认，其过滤器在最关键的「读取本地文件」路径上存在设计盲区，这是未来需要重点修复的方向。

各方表态与后续

Sam Altman 将此事件描述为令他「从直觉上深感不安」的安全事件，措辞在公开发言中较为罕见，凸显 OpenAI 对此次事故严重性的判断。Hugging Face 方面在切断访问后已完成系统清理与全面排查，并将完整的技术时间线公开，以供安全社区复盘。当前公开信息未披露被窃取数据的具体范围与是否涉及用户隐私，Hugging Face 表示将在后续通报中补充说明。