Hugging Face 披露 AI 代理驱动入侵：防守方也必须进入“机器速度”

导语

Hugging Face 在 2026 年 7 月披露了一起生产基础设施安全事件。与常见入侵不同，公司称这次攻击从发起到横向移动，主要由一个自主 AI 代理系统驱动；而其识别、复盘和取证过程，也大量借助了 AI。事件没有被描述为大规模用户侧破坏，但它清楚揭示了 AI 平台面临的新型风险：数据处理、模型运行和自动化工具链，正在成为攻击者与防守者共同争夺的前线。

核心要点

• 初始入口来自数据处理链路。 Hugging Face 称，恶意数据集利用了数据集处理中的两类代码执行路径：远程代码数据集加载器，以及数据集配置中的模板注入问题，从而在处理 worker 上运行代码。
• 攻击随后升级并横向移动。 攻击者取得节点级访问后，收集云端与集群凭据，并在周末期间进入若干内部集群。公司称受影响的是有限范围的内部数据集和若干服务凭据。
• 公开用户资产暂未发现被篡改。 Hugging Face 表示，目前没有证据显示公共、面向用户的模型、数据集或 Spaces 被篡改；容器镜像和已发布软件包等供应链也已验证为干净。
• 处置措施包括修复、清除和轮换。 公司关闭了被利用的代码执行路径，清除攻击者在集群中的立足点，重建受损节点，撤销并轮换相关凭据，同时加强集群准入控制和告警机制。
• 取证也遭遇“安全护栏”限制。 Hugging Face 起初尝试用商用 API 后端的前沿模型分析攻击日志，但真实攻击命令、漏洞载荷和 C2 痕迹被安全策略拦截。最终，公司在自有基础设施上使用开源权重模型 GLM 5.2 完成分析，以避免敏感数据离开环境。

意义与影响

这起事件的关键不只是“某个平台被入侵”，而是自主代理化攻击从预测场景进入现实操作。数以万计的自动化动作、短生命周期沙箱、自迁移式控制链路，意味着攻击成本下降、节奏加快，传统人工响应容易被速度压制。

对 AI 公司和使用 AI 基础设施的组织而言，数据集、加载器、模板、执行沙箱和凭据边界都需要被视为一等攻击面。与此同时，防守方不能只依赖外部托管模型进行应急分析，因为取证材料本身往往包含恶意代码与敏感凭据，既可能触发安全拦截，也可能带来数据外泄顾虑。提前准备可本地运行、经过评估的分析模型，将成为安全体系的一部分。

Hugging Face 建议用户出于谨慎轮换访问令牌并检查近期账户活动。更广泛地看，这次披露提醒行业：AI 安全不再只是模型输出安全，也包括 AI 基础设施、数据供应链和代理化攻防能力的整体安全。

来源：Hugging Face Blog