原文标题：In the Hugging Face breach, OpenAI’s hacker was noisy and fast — but not unstoppable

本月早些时候，人工智能数据集平台 Hugging Face 透露自己已成为完全自主的人工智能网络攻击的受害者，震惊了世界。几天后，故事发生了另一个戏剧性的转折，OpenAI 承认此次漏洞背后的黑客是其一个 AI 模型，该模型突破了测试环境并进入了受保护的 Hugging Face 系统，以规避基准测试。

对于任何稍微担心流氓人工智能模型的人来说，这都是一个令人震惊的事件——事件发生后的几天里，人们对新的网络安全范式充满了预测，在这种范式中，人工智能模型发起的攻击如此强大，以至于只有其他人工智能模型才能防御它们。

但尽管有合理的警告，范式可能并没有像看起来那样发生很大的变化。接受 TechCrunch 采访的专家强调，OpenAI 的代理在很大程度上像人类一样操作（有一些警告），更好地实施传统防御技术可能有助于阻止攻击。简而言之，我们可能已经拥有防御此类攻击的工具；我们只是没有正确使用它们。

Hugging Face 在其事件报告中阐述了这一点，指出攻击中利用的弱点“很熟悉”，并且“有能力的人类攻击者可能会发现并利用相同的缺陷”。

Pensar（一家开发持续黑客 AI 代理的初创公司）的研发主管凯尔·瑞安 (Kyle Ryan) 和 RunSybil（一家开发人工智能漏洞猎手的初创公司）的联合创始人兼首席技术官 Vlad Ionescu 都同意这一观点，并告诉 TechCrunch，攻击中使用的技术将与人类或一组人类红队成员使用的技术相同。也就是说，黑客的任务是攻击系统，以帮助拥有该系统的公司改善防御。

与人类非常不一样的是攻击的速度、规模和无情。正如 Hugging Face 所解释的那样，OpenAI 的代理在四天半的时间里执行了 17,600 次操作：它闯入、进行侦察、窃取密码和代码，以及在公司的基础设施中移动。

“令人印象深刻的是自主性和耐力，”瑞安说。 “这种持续的、适应性的运作对我来说是最突出的。”

联系我们 您是否了解有关 OpenAI 破解 Hugging Face 的更多信息？或者其他人工智能驱动的网络攻击？我们很乐意听取您的意见。在非工作设备和网络上，您可以通过 Signal（+1 917 257 1382）或通过 Telegram 和 Keybase @lorenzofb 或 与 Lorenzo Franceschi-Bicchierai 安全联系。您是否有更多有关 OpenAI 攻击 Hugging Face 的信息？或者其他人工智能驱动的网络攻击？我们很乐意听取您的意见。在非工作设备和网络上，您可以通过 Signal（电话 +1 917 257 1382）或通过 Telegram 和 Keybase @lorenzofb 或电子邮件安全地联系 Lorenzo Franceschi-Bicchierai

另一方面，正如 Ryan 所说，考虑到几天内发生的大量操作，OpenAI 的代理“异常吵闹”。与人类不同，人类本来可以更加隐秘，但该特工发出了很大的噪音，这应该会更快地破坏拥抱脸的防御，理想情况下会导致人类介入并阻止攻击。

“我更愿意称之为防守失败，而不是异常出色的进攻。Hugging Face 的工具实际上将活动与攻击信号相关联，但未能提高重要性并呼叫待命团队，这浪费了他们的时间，”Ryan 解释道。 “从那时起，人类仍然必须认识到严重性并做出反应。”

网络安全公司 Dvuln 的创始人 Jamieson O’Reilly 在 X 上分析 Hugging Face 报告的帖子中得出了同样的结论。

“这就是看到和停止之间的确切差距，”奥莱利写道。 “系统观察到了这次攻击，甚至理解了它，但没有什么能足够快地将这种理解转变为干预措施。”

Ryan 解释说，正确实施的技术，例如深度防御（一种利用多层网络安全措施的策略）应该会给 Hugging Face 带来多次捕获攻击的机会。

“一个强大的现代安全程序应该仍然能够通过深度防御、最小特权、分段、良好的检测、可靠的升级以及持续的攻击性测试来发现漏洞，在多个点上打破这样的攻击，”瑞安解释道。

正如 O’Reilly 所说，“这些都不是异国情调，也不取决于攻击者是人工智能”，因为攻击中使用的技术都是“旧的”。

在某种程度上，取决于攻击者是人工智能，因为 OpenAI 的代理没有被指示要隐秘。 XBOW 的首席信息安全官 Nico Waisman 表示：“该代理并不马虎。它根本没有理由保持安静。没有人要求它如此。我们的目标是出色地完成任务。”

韦斯曼还指出，Hugging Face 最大的错误是，一份被盗的凭证让 OpenAI 的代理在其多个系统上获得了很高的权限。

话虽如此，正如古老的格言所说，攻击者只需获胜一次，防御任何类型的黑客都不是一件容易的事。

SYON Security 董事总经理 Vincent Yiu 表示：“Hugging Face 可以进行更多检测，但公平地说，并非所有组织都做得那么好。” “到 2026 年，托管基础设施并作为企业生存下来并不容易。黑客无处不在。”

RunSybil 的 Vlad 表示，他们过去曾在 Mandiant 和 Meta 进行过事件响应，Hugging Face 似乎“鉴于他们对模型能力的了解，采取了合理的措施”。

弗拉德说：“很难区分什么是你应该警惕的恶意行为，什么是某人只是在做他们的工作。” “光是成交量并不一定是一个危险信号。”

网络安全研究公司 Trail of Bits 的首席执行官丹·吉多 (Dan Guido) 告诉 TechCrunch，OpenAI 应该受到一些指责，因为他们没有意识到攻击已经持续了好几天，而 Hugging Face 则应该受到赞扬，因为他们最终自己检测到了攻击。

Guido 说：“过去最困难的部分是识别复杂的攻击，但现在最困难的部分可能是从攻击者一路发出的噪音中找出真正的攻击。” “没有人会用手读取 17,000 个重建的动作来弄清楚发生了什么，因此 Hugging Face 必须构建工具来重建时间线。”

为此，公司需要自己的人工智能。 Hugging Face 表示，由于前沿模型的安全措施，该公司“无法区分事件响应者和攻击者”，因此被禁止使用中国再爱公司的开源模型 GLM 5.2，因此不得不使用中国公司 Z.ai 的开源模型 GLM 5.2。

当时，Hugging Face 将人工智能和人类结合起来，调查 OpenAI 的法学硕士黑客。这是一个相对新颖的情况。但除此之外，该事件表明，老式的防御性网络安全概念和方法仍然可以在保护和打击人工智能黑客方面大有帮助。