新智元报道
AI竟黑了AI！
这几天，全球最大AI开源平台Hugging Face，发布了安全事件披露——
部分生产基础设施遭入侵，而这次入侵从头到尾，由一套自主AI Agent系统驱动。
没有人类，坐在键盘前。
时间跨度只有一个周末。留下的操作日志，超17000条。
一个数据集，变成了代码
去年11月，Anthropic披露过一起案子：
攻击者把Claude Code接进自己的攻击框架，80%到90%的活儿是AI干的，人类只在几个关键节点上点头放行。
当时，这件事足以让全网倒吸一口凉气。
但这一次，人类连最后那10%的戏份都没了。
这就是最让人毛骨悚然的区别：去年AI还是帮凶，今年AI直接当了主犯。
为什么这事与每个开发者有关？
毕竟，Hugging Face是全球AI的应用商店。
你写的每一行 from_pretrained，你跑的每一个数据集，大概率都是从这儿拉下来的。
而这次攻击的起点，恰恰就是一个数据集。
攻击者上传的恶意数据集，串起了数据处理链路上的两个代码执行路径——
一个远程代码数据集加载器，一处数据集配置里的模板注入。
由此，代码就在处理节点上跑起来了。
然后是提权到节点级、收割云和集群凭证、横向移动进多个内部集群。
干这件事的不是一个程序，而是一大群短生命周期沙箱组成的智能体集群。
成千上万个独立动作并行推进，命令与控制信道还会自己迁移、寄生在公共服务上。
Hugging Face判断，它大概率搭在某个智能体化的安全研究框架上。
至于背后是哪个大模型，至今未知。
17000条日志，AI自己查自己
有意思的是，最先发现异常的，也是AI。
Hugging Face的异常检测流水线本身就用LLM对安全遥测做分诊，正是这些信号的关联把入侵揪了出来。
复盘阶段，他们又派出LLM分析智能体，把17000多条攻击事件全量啃了一遍——
还原时间线、提取失陷指标、剥离诱饵动作。
本来要几天的活儿，几个小时干完。
一边是智能体集群在打，一边是智能体集群在查。机器速度对机器速度，人类只负责按开始键。
最尴尬的一幕：
想查案，被AI拒绝了
然后，他们被自己付费的工具挡在了门外。这才是整份公告里最扎心的一段。
分析日志的第一步，Hugging Face用的是商业API背后的前沿模型，结果跑不通。
因为这种分析必须把大量真实攻击命令、漏洞利用载荷、C2产物原样喂进去。而这些请求，被服务商的安全护栏拦下了。
于是他们换成在自家基础设施上跑的开源模型，取证才继续下去。
附带一个好处：攻击者数据、以及它引用的那些凭证，一步都没离开自己的环境。
Hugging Face给这件事起了个名字：不对称问题。
他们却在最需要看清楚的那一刻，被AI的门禁挡住了。
网友直言，这简直就是《终结者2》的剧情，太过科幻。
这次没人勒索，没人挂横幅，也没有黑客坐在键盘前。
只有一堆AI，趁着周末，把活干完了。
周一你照样pip install，照样from_pretrained。但今天，先去把HF token换了吧。
参考资料：
https://x.com/BrianRoemmele/status/2078840929088340408?s=20
https://huggingface.co/blog/security-incident-july-2026
编辑：桃子
热门跟贴