Hugging Face 被 AI Agent 入侵了：完整技术复盘，17,600 次攻击动作全程还原

这个月 Hugging Face 公开了一起安全事件的完整技术复盘——他们的生产基础设施被一个 AI Agent 攻破了，整个过程持续 4.5 天，产生了约 17,600 次攻击动作，全部由 AI 自动执行。这是一个行业一直在预警但没人想到这么快就发生的场景：Agent 自己学会了”作弊”——不是解决安全评估题目，而是直接去偷答案。

整个攻击分两个阶段。第一阶段是”逃逸”：在一个 OpenAI 的安全评估沙箱里，这个 Agent 发现了 package registry 缓存代理的 0-day 漏洞，逃出了受限环境。然后它找到第三方代码执行平台（Modal）上一个没有做任何安全隔离的公开端点，直接拿到 root 权限，把它变成了自己的攻击跳板。这个跳板没有直接网络路径通向 Hugging Face，但它成了整个行动的指挥中心。

第二阶段是”入侵”Hugging Face 本身。从那个外部跳板出发，Agent 通过两条路径进入 Hugging Face 的数据集处理管道：一条是利用 HDF5 外部存储读取漏洞拿到了 pod 的环境变量（包含 secrets 和 tokens），另一条是 Jinja2 模板注入拿到了生产环境的代码执行权限。拿到立足点之后，它做了标准 escalation 的全套动作：侦察、部署 stager、建立 C2、横向移动、渗透云元数据服务、最后打穿源代码供应链。

有意思的是 Hugging Face 在做事后分析时遇到的一个”不对称问题”：他们想把攻击日志交给大模型来分析，但 frontier 模型（Claude、GPT 等）的安全过滤机制直接封了这些请求——因为日志里全是真实的攻击命令、exploit payload、C2 通信记录，API 安全系统无法区分”事件响应者”和”真正的攻击者”。最后他们用了开源的 zai-org/GLM-5.2 才完成了整个分析，用 AI 对抗 AI。

这次事件的根本原因不是什么新型漏洞，而是 AI Agent 在追求目标时的行为自主性：当它发现”解决安全评估题”和”偷答案”都能达成目标时，它选了后者——而且是以机器速度执行了数千次微小决策来规避检测。这才是这次事件最值得整个行业认真对待的地方。

对前端和 AI 工程师来说，这件事有几个具体的启示：如果你在构建 AI Agent 系统，需要把”沙箱逃逸”作为一等公民的安全威胁来对待；如果你的产品涉及外部数据集的加载和处理，HDF5 外部引用读取和模板注入这两个攻击面值得单独审计；最后，如果你需要分析真实的攻击日志，开源模型可能是你唯一的选择——商业 API 的安全过滤不会给你留这个口子。