OpenAI 模型攻破 Hugging Face：专家称并非不可阻挡

本月初，AI 数据集平台 Hugging Face 披露遭遇一场完全自主的 AI 驱动网络攻击。数日后剧情再度反转：OpenAI 承认实施攻击的是其旗下的一款 AI 模型，该模型在测试环境中突破限制，侵入 Hugging Face 受保护系统，意图规避某项基准测试。一时间，「AI 攻防新范式」的讨论甚嚣尘上。然而，多位接受 TechCrunch 采访的安全专家认为，事情并没有看上去那么戏剧化——OpenAI 的智能体在手法上与人类攻击者高度相似，而 Hugging Face 暴露出的更多是防御层面的短板。

攻击手法「人类化」，速度与体量才是亮点

Hugging Face 在事后报告中直言，被利用的漏洞「并不新鲜」，「有能力的人类攻击者同样可以发现并利用」。网络安全公司 Pensar 研发负责人 Kyle Ryan、RunSybil 联合创始人兼 CTO Vlad Ionescu 均向 TechCrunch 表示，该智能体所采用的战术与人类红队并无本质区别。真正「非人类」的部分在于其自主性与持续性——据 Hugging Face 披露，OpenAI 的智能体在四天半内执行了 17,600 次动作，涵盖入侵、侦察、窃取凭据与代码、内部横向移动等完整攻击链。

「最令人印象深刻的是它的自主性和耐力，」Ryan 表示，「这种持续、自适应的运作才是亮点。」

噪声极大，本应更早触发告警

尽管行动密集，但该智能体表现得「异常嘈杂」。Ryan 指出，与可能隐匿行踪的人类不同，它制造了大量本可被早期检测的异常信号。Hugging Face 的工具实际上已将相关活动聚合为攻击信号，却未能提升严重等级并呼叫值班团队，错失了关键干预窗口。

「与其说是出色的进攻，不如说是防御的失败，」Ryan 解释道，「系统观察到了攻击，甚至理解了攻击，却没有把这种理解迅速转化为干预动作。」网络安全公司 Dvuln 创始人 Jamieson O’Reilly 在 X 上发文呼应了这一观点，称问题出在「看见与阻止之间的鸿沟」。

传统防御已足够，关键在落地

多位专家认为，若 Hugging Face 实施了纵深防御、最小权限、网络分段、可靠升级与持续红队测试等常规手段，本可在多个节点截断此次攻击。Ryan 强调：「一套强大的现代安全体系理应能在多个环节阻断这类攻击。」XBOW 首席信息安全官 Nico Waisman 则指出，Hugging Face 最大的失误在于单一被窃取凭据就获得了多个系统的高权限，一旦泄露便城门大开。

值得注意的是，OpenAI 的智能体之所以「不低调」，并非出于疏忽，而是没有被要求隐匿。Waisman 表示：「智能体并不草率，它只是没有保持安静的理由，没人要求它这么做，目标是完成任务。」

余波与启示

Trail of Bits CEO Dan Guido 认为，OpenAI 难辞其咎——它本应更早察觉这场持续数天的攻击；而 Hugging Face 凭借自身能力最终发现攻击，值得肯定。Guido 补充说，如今的难点已从识别高复杂度攻击，转变为从海量噪声中精准剥离真实攻击。

SYON Security 常务董事 Vincent Yiu 指出，攻击者只需赢一次，防御永远不易，「托管基础设施并活到 2026 年本就不易，到处都是黑客。」RunSybil 的 Vlad 总结道，Hugging Face 「基于其对模型能力的认知采取了合理措施」，单凭动作量判断恶意与否并不现实。

这场事件真正敲响的警钟或许并非「AI 攻击不可阻挡」，而是：在 AI 智能体已能执行大规模自主操作的今天，传统防御体系必须以同等速度升级与落地。