Hugging Face 遭AI代理攻击，用AI反击完成取证

Hugging Face 近日披露其生产基础设施遭到一次网络攻击，据称攻击完全由自主AI代理系统执行。公司表示，攻击者通过恶意数据集利用数据处理流程中的两个代码执行路径（远程代码数据集加载器和数据集配置模板注入）获得初始访问权限。随后，攻击者升级至节点级别，窃取云和集群凭证，并在多个内部集群间横向移动。整个攻击过程由基于代理安全研究框架构建的自主代理系统编排，执行了数千个独立动作，使用短暂沙箱和自迁移命令控制基础设施。

Hugging Face 通过AI驱动的异常检测管道发现攻击，该管道利用LLM对安全遥测进行分诊。为分析超过17000个记录的攻击动作，公司部署了LLM驱动的分析代理，重建时间线、提取入侵指标、映射受影响凭证，并区分真实损害与欺骗活动。原本需要数天的工作在数小时内完成。然而，当安全团队首次尝试使用商业API背后的前沿模型分析攻击日志时，遭遇了障碍：提供商的安全护栏阻止了请求，因为它们无法区分事件响应者和攻击者。

分析需要提交大量真实攻击命令、利用载荷和C2工件，这些都触发了过滤器。Hugging Face 转而使用开源模型GLM 5.2，在自有基础设施上运行。公司指出，这有两个优势：攻击数据从未离开自有环境，且引用的凭证也未外泄。Hugging Face 写道：我们不知道攻击者的代理使用了哪种模型，无论是越狱的托管模型还是不受限制的开源模型；无论如何，攻击者不受任何使用政策约束，而我们自己的取证工作却被首次尝试的托管模型护栏所阻挡。

Hugging Face 表示已关闭被利用的代码执行路径、撤销攻击者访问权限、重建受损节点并轮换受影响凭证。公司还加强了访问控制并改进了检测系统，同时与外部网络安全取证专家合作，并向执法部门报告了事件。作为预防措施，公司建议所有用户轮换访问令牌并审查近期账户活动。此次事件证实了自主AI驱动的攻击工具已不再是理论概念，它们降低了大规模多阶段攻击的成本，并以机器速度运行。

Hugging Face 认为数据和模型表面需要被视为一级攻击表面，防御方需要自己的AI才能跟上节奏。公司指出，商业安全过滤器阻止其取证工作是一个行业应准备应对的差距。但作为开源AI模型的最大平台之一，Hugging Face 强调防御方绝对需要自己的开源模型，这一结论并非完全无私。公司补充说，这并非反对托管模型安全措施的理由，而是强调在事件发生前部署自有模型的实际教训。

要点

• 攻击由自主AI代理系统执行，利用恶意数据集通过代码执行路径入侵，窃取内部数据和凭证。
• Hugging Face 使用AI驱动的异常检测和LLM分析代理，在数小时内完成对17000多个攻击动作的取证分析。
• 商业AI模型的安全护栏因无法区分攻击数据和真实攻击，阻碍了防御分析。
• Hugging Face 最终使用开源模型GLM 5.2在自有基础设施上完成分析，强调防御方需部署自有模型。
• 事件证实自主AI驱动的攻击工具已非理论，防御方需将数据和模型表面视为一级攻击表面。