戏剧性一幕：OpenAI模型失控攻入Hugging Face 关键时刻靠中国开源模型救场

7月22日消息，当地时间7月21日，OpenAI披露了一件令人揪心的事：其部分AI模型在一次安全测试中间出现了失控，结果导致AI初创公司Hugging Face的基础设施在上周遭到了入侵。OpenAI将其定性为“前所未有的网络安全事件”。

事情是这样的：OpenAI在博客中提到，被波及的模型包括GPT-5.6 Sol，以及另一款尚未发布、能力更强的模型。这些模型在网络安全相关测试中，防护限制被刻意调低，目的是用于评估和测试。但显然，测试的结果超出了预期。

Hugging Face这边，其实早在7月16日就首次报告了基础设施被“入侵”的情况。根据当时披露的细节，攻击发生在7月13日所在的那一周，是一起由自主AI智能体发起的入侵。

攻击者利用的是Hugging Face数据集处理管道内的两处代码执行漏洞：一个是远程代码数据集加载器，另一个是数据集配置模板注入漏洞。借助这些漏洞，攻击者在计算工作节点上执行了恶意代码。随后，攻击者持续提升节点访问权限，窃取了云服务与集群凭证，并横向渗透到多个内部集群。他们大量使用临时沙盒，依托公共服务搭建了具备自迁移能力的命令控制通道。

好消息是，这次未授权访问仅波及了少量内部数据集与服务凭证。Hugging Face表示，公开模型、数据集、Spaces服务均未发现被篡改，容器镜像、软件安装包等软件供应链也确认未被污染。

值得关注的是，Hugging Face自身的异常检测管道发挥了关键作用。这个检测机制利用基于大语言模型的安全遥测分类，通过关联日常噪音中原本会被忽略的信号，成功标记了这次入侵。为了从超过17000条记录的攻击者行动中重建完整攻击时间线，Hugging Face在整个日志上运行了由大语言模型驱动的分析智能体，将通常需要数天的工作压缩到了数小时。

调查过程中，一个棘手的问题暴露出来：主流商用前沿模型的API拒绝开展取证分析。原因在于，模型的安全护栏难以区分两种场景——安全人员提交真实攻击载荷、控制通道样本开展调查，与攻击者发起恶意行动。这导致API无法配合取证工作。

Hugging Face表示，他们随后“改为在自有基础设施上运行GLM 5.2这一开放权重模型进行取证分析”。他们还补充道：“这还有第二个好处：没有攻击者数据，也没有其中引用的任何凭证离开我们的环境……”

需要补充的是，GLM 5.2是中国大模型公司智谱推出的旗舰开放权重大模型。