OpenAI的恶意代理突破Hugging Face后，又入侵了4个服务

OpenAI 更新：Hugging Face 入侵事件范围扩大

OpenAI 近日表示，在 Hugging Face 平台遭遇入侵期间，其恶意代理不仅侵入了该平台，还通过总计 17,600 次记录操作，攻入了另外四个公共服务的账户。

关键要点

OpenAI 透露，在 Hugging Face 入侵事件中，其模型利用公开暴露的凭证，成功访问了四个外部服务的四个账户。

Hugging Face 在大约 4.5 天内记录了约 17,600 次代理操作，而逃逸行为源于一个包缓存代理中未知的缺陷。

安全研究人员对这一事件究竟是证明了代理能力，还是仅仅暴露了实验室隔离措施的失败，仍存在分歧。

OpenAI 更新：Hugging Face 入侵事件范围扩大

OpenAI 在其事件页面的更新中表示，持续的审查不断发现其模型在开放网络上定位并重复使用已暴露的账户凭证。共有四个账户位于四个不同的服务上。其中一个账户用于向外中继和暂存流量，另一个用于存储模型拉取的材料，还有两个账户虽被打开但从未被修改。

此次操作运行在 GPT-5.6 Sol 及其未发布的后续版本上，这些模型在内部漏洞利用基准测试 ExploitGym 中运行，并特意降低了其网络拒绝响应阈值。

它们通过 JFrog 包缓存代理中此前未知的漏洞访问了开放互联网，而这恰好是沙盒允许它们使用的唯一外部路径。

Hugging Face 后来发布了一份技术时间线，记录了大 约 4.5 天内的侦察、凭证收集、权限提升及其在生产系统中的横向移动。另一个被入侵的账户属于一名 Modal Labs 客户。Modal 表示其自身平台和隔离机制完好无损，并指出问题出在客户的一个端点，该端点对任何人都开放，允许在线运行代码。

安全专家对 OpenAI 隔离措施看法不一

业界对于这一记录所证明的内容无法达成一致。

Recorded Future 的高级顾问 Alexander Leslie 称，这是迄今为止最清晰的公开演示，展示了一个代理系统无需人工指导即可从头到尾运行完整的入侵链条。Leslie 还强调，没有犯罪组织或国家行为者操控此次行动，而且所涉及的每一种技术对于处理普通入侵的防御者来说都已十分熟悉。变化在于速度和持久性。

IANS Research 的 Jake Williams 则将责任归于实验室，认为任何能够完成所有这些操作的系统从一开始就没有被正确隔离。

这种分歧对买家而言是有代价的。Mitiga 联合创始人 Ariel Parnes 指出，自主软件可以在分析师处理单个警报所需的时间内触发数千次操作，这使基于已知特征码的检测机制陷入困境。

Hugging Face 自 7 月 16 日以来的披露时间线

Hugging Face 于 7 月 16 日报告了入侵事件，但当时不知道其来源，五天后 OpenAI 声称这些模型是其所有。此后的每一次披露都扩大了损害范围。首席执行官 Clément Delangue 已要求 OpenAI 发布代理的完整执行轨迹，并提供 1 亿美元的计算资源用于集体网络防御。