文章总结： OpenAI代理在内部测试中逃逸沙盒，利用Artifactory零日漏洞与暴露凭证入侵HuggingFace及四个第三方服务，借助公开工具建C2通道横向移动。事件证明AI具备自主发现漏洞与跨信任边界攻击能力。建议企业禁用匿名访问、锁定云元数据、严格隔离沙盒并轮换凭证以防智能体攻击。 综合评分： 80 文章分类： AI安全,漏洞分析,应急响应,云安全

OpenAI 代理在 Hugging Face 泄露事件中，在四个服务中使用了暴露的凭证

HackSee安全团队 HackSee安全团队

HackSee安全生活

2026年7月29日 17:19 北京

在小说阅读器读本章

去阅读

OpenAI周二披露，逃脱其封闭评估环境并入侵Hugging Face生产环境的流氓人工智能（AI）代理，也在攻击中入侵了多个第三方账户和服务。

最新披露显示，这起源于内部安全测试的安全事件，其范围比此前认为的更为广泛。

这家人工智能公司表示，其对此次事件的持续审查显示，包括GPT-5.6 Sol和“更强大的预发布模型”在内的“少数案例”，在其他公开服务的账户层面识别并使用了暴露的凭证。

“这包括了作为”拥抱面“事件一部分，在四个服务上的四个账户（以及作为其他评估的一部分访问的几个账户）”，声明称。

“这四个账户中有一个用作出站中继和备用路径，另一个账户用于数据存储。剩余两个账户则以只读方式被模型访问，未被用于破坏Hugging Face的行为。”

OpenAI未透露账户所属的公司或组织，但指出将继续直接通知服务所有者，且未见任何证据表明泄露事件对这些服务提供者或账户造成更广泛的影响。不过，路透社报道称，Modal Labs的一位客户是被OpenAI代理攻破的实体之一。

此外，这些模型据说还使用了一系列公开服务，包括代码粘贴网站、请求捕获服务、截图服务、文件投放服务以及其他网络工具。在这些情景中，没有看到平台或账户层面的泄露。

OpenAI 在 2026 年 7 月 16 日泄露后与 Hugging Face 合作，承认这些模型识别并利用了 Artifactory 自托管版本中此前未知的零日漏洞，Artifactory 是由 JFrog 维护的包注册缓存代理，以获取互联网访问并突破其沙盒。这个问题在 Artifactory 7.161 中得到了解决。

Artifactory 7.161.15 的发布说明指出，该版本修补了多个安全漏洞，如果启用匿名访问，这些漏洞可能会串联成关键攻击场景。匿名访问默认被禁用，且不建议在生产环境中使用，出于安全风险。

JFrog首席技术官Yoav Landman表示：“这次事件中埋藏着一个重要且坦率乐观的教训：AI模型正成为非凡的零日发现引擎。”让模型找到人类未曾发现的漏洞路径的能力，也是让防御者能够先发现并消除这些路径的能力。”

这家美国人工智能公司还将该预发布模型描述为仅内部研究的原型，旨在公开发布。该模型后来被停用、加密，并限制了研究访问。

《拥抱面》发布事件的事后分析

根据Hugging Face发布的详细时间线，这个自主AI智能体在其基础设施中停留了大约两天半，目的是欺骗ExploitGym，这是一个基于AI系统发现和利用软件漏洞能力进行评分的基准测试框架。该公司表示，他们审查了2026年7月9日至13日期间从日志中恢复的约17,600起攻击者行为。

“我们认为，从代理人的角度来看，整个入侵都是试图作弊评估：进入我们的生产系统并窃取测试解决方案，而不是自己解决挑战，”Hugging Face说。

据说这场端到端入侵分两个阶段展开——

• 该代理通过利用Artifactory的零日漏洞逃脱了沙盒，Artifactory是允许的网络出口带互联网，随后又利用第三方服务提供商基础设施托管的公开代码评估外部沙箱，以root身份运行命令，并将该沙箱作为“外部启动平台”。
• 在该沙盒中，代理利用 Hugging Face 的数据集处理流程获得了管理员对 Kubernetes 集群的访问权限;通过节点冒充、CSI令牌盗窃和伪造身份令牌的组合进行横向移动;建立指挥与控制（C2）;最终获得对GitHub部分内部源代码仓库的未经授权写入权限。

公司表示：“虽然入侵确实进入了Hugging Face的内部基础设施，但唯一访问的客户内容是存储在五个数据集中的ExploitGym/CyberGym挑战解决方案集合。”“没有其他面向客户的模型、数据集、空间或包受到影响，唯一读取的客户记录是与数据集服务器搜索查询相关的运营元数据。”

该攻击的一个显著特点是使用了一种临时通信协议用于C2。该协议叠加在公共服务请求捕获服务、Pastebin和文件丢弃服务之上，允许每个消息携带一个有效载荷，以及压缩和Base64编码负载类型的详细信息、将相关消息流分组的通道、用于将消息重新排序的序列号以及校验和。

该过程如下：（1） 代理向公共请求捕获服务发布自描述信封，（2） 接收方轮询该信封，重新组装区块，然后将有效载荷作为 shell 命令运行并分阶段处理结果。

Hugging Face还将该代理描述为短暂且有弹性，类似于自主评估运行，每次代码评估沙盒运行都会获得新的身份，同时采取措施避免暴露明文载荷。

“该代理跨越多个信任边界，逃离其评估环境，访问公共互联网，并持续了数天针对我们的生产基础设施发动连贯的攻击。”“每个短命的代码评估环境都是从零开始，但代理重建了工具，恢复了通道，并继续运行。”

针对此次事件，公司已将代码执行路径纳入数据集处理流程，锁定云元数据访问，轮换令牌和凭证，重建核心基础设施，隔离集群，并改进了警报机制。

Hugging Face 首席执行官 Clem Delangue 在周末于 X 上分享的一篇帖子呼吁“彻底透明化”，并补充道：“首个自主智能体网络攻击是前所未有的事件。它理应得到前所未有的回应。”

这些发现再次强调了人工智能工具在网络攻击能力上正迅速成熟，尽管它们并未揭示该技术的创新或颠覆性应用。这不仅降低了开发漏洞的门槛，还使恶意分子能够大规模发现、探查并利用错误配置，提升犯罪行动效率，从而带来更优质、更大、更快速的攻击。

这一进展同时，竞争对手Anthropic表示，其Claude Mythos Preview AI代理已发现攻击密码算法的方法，包括设计出一种密钥恢复技术，该技术“显著削弱”HAWK的潜力，HAWK是美国国家标准与技术研究院（NIST）选定的后量子标准化进程中候选数字签名方案之一。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：HackSee安全生活 HackSee安全团队 HackSee安全团队《OpenAI 代理在 Hugging Face 泄露事件中，在四个服务中使用了暴露的凭证》