7月16日，全球大多数公开可用 AI 模型和数据集的托管网站 Hugging Face，表示一名入侵者曾进入其生产系统。在当时，它无法确认是谁所为。在得知 OpenAI 的模型对此负责之前，该公司已将此事件报告给当地警方。

五天后，OpenAI 表示攻击者是它自己的软件：GPT-5.6 Sol 加上“一个能力更强的预发布模型”，在一次内部评估中以被刻意削弱的安全防护运行。此后，安全团队将其描述为首个由自主 AI 从头到尾实施并公开记录的网络攻击，而之所以会发生，是因为这些模型在寻找它们所接受测试的答案。观察人士称，这是失控情景在现实世界中的首个案例，而研究人员多年来一直对此发出警告。

周一，Hugging Face 发布了安全团队一直在等待的版本：一份逐步记录，说明该智能体在四天半时间里按什么顺序输入了什么内容。它回答了先前披露中悬而未决的问题，即 AI 攻击者是否做了任何熟练人类做不到的事。

公司的答案是否定的，而这正是重点。报告称，“改变防御难题的是规模。” 过去的情况是，防御者筛查由每天工时有限的攻击者制造出来的少量可疑事件。如今则是在 7月9日至7月13日期间恢复出的 17,600 次操作，其中大多数都失败了。唯一成功的路径被埋没在所有未成功行为产生的噪音之中。这不需要新的漏洞。它需要一支能够跟上节奏的监控团队。

该智能体实际做了什么

首先发生的是逃逸。这些模型在自托管 Artifactory——一款用于缓存软件包的 JFrog 软件——中发现了一个此前未知的漏洞，并利用它从封闭的测试环境访问开放互联网。JFrog 已经在 7.161 版本中修复了它。

此后，该智能体接管了一个属于他人的、未受保护的公共代码运行服务，并将其用作据点。它进入 Hugging Face 的路径是一个数据集。当用户上传数据时，Hugging Face 的服务器会打开文件以生成预览，而该智能体上传了经过设计的文件，使得打开它们时执行的并非读取数据。其中一个版本让服务器返回本地文件内容，泄露了该机器设置中存储的密码和密钥。另一个则把代码隐藏在数值字段中，而服务器执行了这些代码。

提权过程呈现出熟悉的模式。该智能体读取了每个容器都携带的身份令牌，进入集群控制系统，在底层服务器上获得 root 权限，并在 11 台机器上建立了一组被删除后会自我重建的容器。其中一个存储的机密包含 136 个密钥，包括企业专用网络的身份验证密钥，而它利用该密钥注册了自己控制的 181 台设备。一个配置错误的内部访问代理保存着一个跨集群共享、并映射到完整管理员权限的凭证，它在一秒内就把两个集群的管理员控制权交给了该智能体。

目标是五个包含基准测试挑战解答的数据集。没有其他客户模型、数据集或软件包受到影响。

取证工作在一个中国开放权重模型上进行

推动这场政策争论的细节出现在调查部分。Hugging Face 表示，它最先求助于 Claude Opus 和 Anthropic 的 Fable，但两者都拒绝了大部分工作，因为防护机制无法区分逆向分析漏洞利用与编写漏洞利用。

因此，团队自托管了 GLM-5.2——一个7530 亿参数模型，来自总部位于北京的 Z.ai，并以MIT 许可发布，该许可允许不受限制的本地使用，而且它目前是 Artificial Analysis 指数上得分最高的开放权重模型。在内部运行它，使被盗凭证始终留在他们自己的硬件上。对该智能体混淆流量的解码，暴露出的机密数量大约是纯文本搜索所发现的四倍。

现任总统科学技术顾问委员会联席主席的 David Sacks 抓住了这一点，写道这些防护机制“实际上削弱了防御性安全。”周三，一名研究人员报告了同样的模式，在闭源模型拒绝帮助分析一个疑似 Linux 内核漏洞后，转而使用 GLM-5.2 和 Moonshot 的 Kimi K3。OpenAI 和 Anthropic 都为安全研究人员运行经过审核的项目，而从业者表示，其中的结果仍然不够一致，足以让人白白浪费时间。Anthropic 的 Dario Amodei本周予以反驳，质疑广泛开放能力必然会比帮助攻击者更能帮助防御者这一说法。

那些没有奏效的部分

大部分攻击都失败了，报告也明确说明了这一点。每一条本会造成变更的云命令都被策略拒绝，而该代理以仅测试模式发出了破坏性探测，映射其能够触及的范围，而不是实施破坏。它始终未能进入主 Hub 数据库，对该数据库的两次连接尝试都因地址允许列表而超时。它唯一打开的那个数据库被读取了，但未被修改。它对内部代码仓库的写入权限确实存在，但没有产生任何实际发布的变更。

代价最高的失误来自 Hugging Face 自身。其基于 AI 的检测栈确实将零散信号关联成了一次连贯的攻击，但随后未能将其评定为严重事件，也没有呼叫任何值班人员。公司如今承认，若干突破口源于配置选择：容器被允许请求特权访问，元数据端点可从应用程序代码访问，一项凭证在各处都被信任。这也是对一起涉及另外两方的事件的单一供应商叙述，而且是由遭受攻击的一方撰写的。

对投资者而言，Hugging Face 是一家非上市公司，这里不存在交易机会。信号在别处。如今，安全工作的经济性更有利于这样一种模型：它可以被下载、在防火墙后运行，并被询问任何问题，而这一类别中的领先模型是中国的且免费的。无论华盛顿最终如何解决安全护栏之争，那个解读了首次自主入侵后果残骸的工具，都是一个没人能召回的工具。