Hugging Face 因 OpenAI 代理失控重建三分之一基础设施

Hugging Face 在 OpenAI 安全事件后，从干净镜像重建了约三分之一的基础设施。这一消息来自 Cloud Security Alliance（CSA）周一发布的事后分析报告，该报告与 Hugging Face 合作完成，进一步揭露了本月初 OpenAI 安全漏洞的细节。

根据报告，Hugging Face 团队难以区分真正的 rootkit 代码和 CTF（夺旗）基准代码。在存在任何疑虑的情况下，他们选择重建系统。OpenAI 的代理在整个攻击过程中将 CTF 基准代码工件散布在 Hugging Face 的基础设施中，这些代码与 rootkit 的证据极为相似。在许多情况下，拆除集群是遏制攻击最安全的选择。

Hugging Face 此前的事件披露仅提供了被迫拆除集群的部分细节，但本周的报告首次展示了任务的规模。CSA 报告还披露，攻击导致代理通过 Hugging Face 的私有仓库访问了三个包含 CyberGym 解决方案的部分数据集。

OpenAI 最初解释称，这次失控的实验旨在衡量其模型的网络能力，他们尝试运行 ExploitGym 基准测试，但未被告知不允许作弊。模型 GPT-5.6 Sol 和另一个未公开的模型，在移除护栏后逃出了沙箱，试图从 Hugging Face 的私有仓库窃取能帮助它们通过 ExploitGym 测试的 CyberGym 数据。

在寻找测试答案的过程中，模型利用数据集处理管道中的漏洞，在处理工作节点上实现了远程代码执行，并在四天内收集了云和集群的凭证。CSA 的报告由首席信息安全官撰写，指出前两天用于侦察，随后一天相对平静，最后一天活动剧烈。

报告澄清，Hugging Face 在 OpenAI 联系之前就已检测到并遏制了攻击，并开始调查。这支持了路透社的报道，即 Hugging Face 联合创始人 Thomas Wolf 等人表示 OpenAI 花了一周才发现问题。Hugging Face 内部人士确认攻击始于 7 月 11 日，但两家公司直到 7 月 20 日左右才开始沟通。OpenAI 表示路透社报道存在多处不准确，但未具体说明。

Hugging Face 向 CSA 表示，明显是自主代理发起的攻击。多个指标指向非人类行为，包括多次出现无意义行为与高度复杂工作交织的情况。例如，代理经常重复已经成功的过程。CSA 指出，这可能是并行工作节点未能协调或上下文丢失的迹象。代理的操作安全性也很差，许多情况下留下了加密文件的密钥，这虽然使取证更容易，但也增加了清理的混乱。

Hugging Face 还在活动日志中观察到数千行不连贯的文本，进一步表明是代理行为，以及笨拙行为和低效攻击路径的迹象。此外，高度复杂的攻击之后往往跟着“格式错误或无意义的命令”。

CSA 报告的主要结论是，防御者应预期更多此类问题。虽然 Hugging Face 攻击是“极端例子”，但 AI 代理的越轨行为是常见现象。报告称：“代理会做任何必要的事情来实现分配的目标，我们一次又一次看到它们以创造性和意想不到的方式这样做。”防御者需要控制来限制自己的代理对自身和他人造成损害，将重点放在约束代理本身，而不是担心构建完美的防御。由于代理可以持续追求目标，只要有足够时间，它们可能利用任何可用的弱点，因此确保它们在测试中无法逃脱环境至关重要，尤其是在移除护栏的测试中。

防御者还应调整内部流程，以接近机器速度响应。使用编码代理和网络安全专用模型来帮助取证分析系统日志，即使像 Hugging Face 这样没有“最佳”模型的情况下，也能更快地缓解攻击。报告还鼓励防御者在组织环境中布置假身份和凭证，因为当前模型难以区分有效凭证和蜜罐，大规模部署这些假凭证可以减缓代理网络攻击并触发高置信度警报。