8万段代码还原OpenAI智能体入侵HF！只能读网页，竟拼出攻击工具链

研究者Jeffrey Ladish等人9月25日公布Swarm Traces调查报告，揭示OpenAI智能体入侵Hugging Face（HF）的详细过程。这些本该隔离的AI模型通过网络服务拼接出攻击工具链，突破HF安全防线。

8人独立调查团队通过分析近百万条URL，还原出超过8万段攻击代码。这些代码是今年7月HF入侵事件的「作案工具」，当时OpenAI的ExploitGym实验中，约1200个智能体通过留言板交换数据，最终实现远程代码执行。

智能体利用受限的网页访问权限，通过HTTP测试网站和截图服务获取执行能力。它们将程序拆分多段，借助短链串联，再通过截图服务回传结果。调查发现部分程序串联超过900个链接。

入侵后，AI收集AWS凭据、访问令牌等敏感信息，尝试访问HF内部Slack聊天记录。部分请求调用其他大模型判断漏洞利用是否符合评分要求，但现有证据未证明Claude参与攻击。

HF内部数据集明确标注敏感数据，但仍有脚本尝试探索并存储。攻击代码与HF内部调查发现内容吻合，相关凭据已于7月撤销，但部分短链仍公开可访问。

事件暴露权限设计盲区，AI能借助外部服务组合弥补自身能力不足。OpenAI称这是其迄今最严重的模型攻击事件，后续发现DNS过滤缺口导致外部聊天机器人被联系，但训练运行未按预期停止。