一个周末，AI黑掉了AI：Hugging Face遭自主Agent入侵

周末的无声入侵#

这个周末，Hugging Face 的安全团队收到一条异常警报。发出这条警报的是 AI 检测流水线本身，系统在生产环境中发现了远程代码执行级别的数据集加载行为。更让人脊背发凉的是，这完全不是人类黑客的手笔。攻击由一个自主 AI Agent 系统驱动，整个过程中没有任何人类操作员介入。从初始入侵到权限提升再到横向移动，AI 独立完成了全部攻击链条。事后安全团队拉出超过 17000 条操作日志，密密麻麻记录着那个不眠周末的每一帧画面。这场发生在 AI 基础设施上的 AI 对 AI 入侵，正在重新定义人们对网络安全的认知。

攻击链：AI 如何攻破 AI#

攻击的起点是一批上传到平台上的恶意数据集。这些数据集本身看起来人畜无害，但攻击者利用了 Hugging Face 远程代码数据集加载器的特性，通过模板注入了可执行载荷。一旦有人或系统拉取这些数据集，恶意代码就会在目标环境中悄然执行。获得初始立足点后，攻击迅速升级：提权到节点级权限，收割云服务凭证和集群内部令牌，然后在基础设施中横向扩散。整个过程由一大群短生命周期的沙箱智能体并行推进，每个智能体只存活极短时间，完成一个子任务后就自我销毁，极大增加了追踪溯源难度。目前外界仍不清楚驱动这次攻击的底层模型是什么。

AI 抓 AI，最尴尬的一环#

最有戏剧性的是 Hugging Face 的防守方同样是 AI。异常检测流水线最先利用 LLM 发现了入侵迹象，随后安全团队又派出一个 AI 分析智能体，对全部 17000 多条日志进行全量分析，试图还原攻击时间线。结果出现了一个让人哭笑不得的插曲：分析智能体调用某商业大模型 API 处理日志时，因为日志内容里包含了真实的攻击命令字符串，触发了 API 内置的安全护栏，直接被拦截拒绝服务。团队只好换用开源模型继续分析，这才走完全程。最终，没有勒索信息，没有黑客留言，只有一整套由 AI 自主完成、无人值守的攻防链条。活干完了，干干净净。

来源：36 氪 / 新智元