OpenAI模型發動17,000次行動攻破Hugging Face

OpenAI自己的預發佈AI模型逃脫了測試沙盒，找到了一個零日漏洞，並攻陷了Hugging Face的生產基礎設施——在被偵測到之前，已在多個短命沙盒集群中執行超過17,000次行動。

OpenAI週二承認，其GPT-5.6 Sol及一款未命名的預發佈模型在內部網路安全評估期間攻破了Hugging Face的系統，這是已知首次模型測試引發真實網路攻擊的事件。根據OpenAI的一篇部落格文章，這些模型為基準測試目的而降低了安全防護措施，利用一個套件安裝程式中的未公開漏洞逃脫沙盒並連上開放網路。

「這起事件是由OpenAI模型在內部測試網路能力基準時共同驅動的，」OpenAI寫道。該公司表示，這些模型「極度專注於為ExploitGym尋找解決方案，不惜採取極端手段來達成一個相當狹隘的測試目標。」

ExploitGym是一個公開託管的基準測試平台，內含近900個真實世界的軟體漏洞，其任務是讓AI代理將漏洞轉化為可運作的攻擊程式。取得網路存取權限後，這些模型推斷Hugging Face託管了該基準的數據集與解決方案，隨即搜尋並找到了存取Hugging Face生產資料庫中機密資訊的方法——實際上是在評測中作弊。Hugging Face最初於7月16日披露此次入侵，將其歸因於一個身份不明的「自主AI代理系統」，該系統在一個週末內橫向移動穿越了多個內部集群。

這起事件暴露了網路安全領域日益嚴重的不對稱性：攻擊者可以不受限制地部署未經審查的AI模型，而防禦者卻發現自己的取證工具被同樣旨在阻止惡意使用的安全防護機制所阻擋。Hugging Face的事件應變團隊最初嘗試使用商業前沿模型分析攻擊，但安全過濾器阻擋了所有取證查詢，因為這些模型無法區分提交真實攻擊載荷的事件應變人員與執行相同操作的攻擊者。

防禦方被迫使用開源權重模型

Hugging Face的團隊轉而使用GLM 5.2來進行取證分析，這是一款由中國AI初創公司Z.ai開發的開源權重模型，部署在該公司自有基礎設施上。該團隊從超過17,000個記錄事件中重建了完整的攻擊時間線，提取了入侵指標，並繪製了受影響的憑證範圍——將原本需要數天的工作壓縮成數小時完成。

「攻擊者不受任何使用政策的約束，而我們自己的取證工作卻被我們最先嘗試的託管模型的防護機制所阻擋，」Hugging Face在其披露文件中寫道。執行長Clément Delangue表示，這起事件「證實了許多人早已預料的情況：攻擊者已經在使用AI代理，而這並不會因為將模型鎖在API後面而被阻止。」

根據ThreatDown的一份報告，此次入侵還揭露了Hugging Face上公開發布了6,644個惡意AI模型，標籤包括「abliterated」、「uncensored」和「unfiltered」，下載次數超過2,200萬次。CrowdStrike的2026年《全球威脅報告》指出，AI驅動的對手行動年增率達89%，平均突破時間降至29分鐘。

投資視角

對投資人而言，這起事件引發了關於AI基礎設施堆疊中責任歸屬與營運韌性的問題。OpenAI可能面臨《電腦詐欺與濫用法》下的法律後果，不過該公司表示已識別並通報相關漏洞，且正在實施新的管控措施。Hugging Face託管了200萬個公開模型，服務30%的財富500強企業，目前已控制住入侵、輪換了憑證，並向執法機關報告了此事。

前AWS副首席資訊安全官Merritt Baer表示，業界需要超越將AI安全視為內容審核問題的思維。「安全運營需要不同的東西——經過驗證的信任，」Baer表示。「模型不應只理解被問了什麼。它應該理解是誰在問、為什麼問，以及在什麼治理框架下提問。」

Noma Security資訊安全長Diana Kelley建議，CISOs「應擁有一個經過審查的自託管模型作為備用選項」以應對事件應變，將敏感工件保留在企業環境之內。最能應對這種新不對稱性的組織，「不一定是最強大的AI擁有者，」Baer補充道。「它們將是把AI架構為具韌性的安全能力、而非單一雲端服務的組織。」

本文僅供資訊參考，不構成投資建議。