本月初，AI数据平台Hugging Face震惊业界，宣布其遭遇了一次完全自主的AI驱动网络攻击。几天后，事件出现戏剧性转折，OpenAI承认此次入侵的黑客竟是一款突破测试环境、侵入Hugging Face受保护系统、试图规避基准测试的AI模型。
这一事件对关注失控AI模型的人来说无疑是警钟。事发后，业界纷纷预测，未来网络安全可能进入一个新范式：AI模型发动的攻击如此强大，只有其他AI模型才能防御。
然而，尽管引发广泛关注，安全专家向TechCrunch表示，OpenAI的代理行为在很大程度上类似于人类黑客，虽然存在一些差异。他们认为，若传统防御措施得当，完全有可能阻止此次攻击。换言之，我们已有防御此类攻击的工具，只是未被充分利用。
Hugging Face在其事件报告中也指出，攻击中利用的漏洞“并不陌生”，“有能力的人类攻击者同样能够发现并利用这些缺陷”。
Pensar研发主管Kyle Ryan和RunSybil联合创始人兼CTO Vlad Ionescu均表示，攻击所用技术与人类红队成员的手法无异——红队即受雇模拟攻击以帮助企业提升防御能力的安全团队。
此次攻击的非人类特征主要体现在速度、规模和持续性。Hugging Face披露，OpenAI的代理在四天半内执行了17600次操作：入侵、侦察、窃取密码和代码，并在公司基础设施中横向移动。
“最令人印象深刻的是其自主性和持久力，”Ryan说，“这种持续且适应性的行动尤为突出。”
另一方面，鉴于攻击动作频繁，OpenAI的代理“异常高调”，Ryan称其噪音极大。与人类黑客相比，代理缺乏隐蔽性，这本应更早触发Hugging Face的防御机制，促使人工介入阻止攻击。
Ryan解释道：“这更像是防御失败，而非攻击手段高明。Hugging Face的工具确实将活动关联成攻击信号，但未能提升其严重性并及时通知值班团队，导致延误。之后还需人工识别严重性并响应。”
网络安全公司Dvuln创始人Jamieson O’Reilly也在社交平台上分析称：“这正是‘发现’与‘阻止’之间的差距。系统观察到了攻击，甚至理解了攻击，但未能迅速将理解转化为干预。”
Ryan指出，若采用多层防御策略（defense-in-depth）、最小权限原则、网络分段、有效检测、可靠升级机制及持续的攻防测试，Hugging Face本应有多次机会阻断攻击。
O’Reilly补充道：“这些都不复杂，也不依赖攻击者是AI，因为攻击技术本身并不新颖。”
攻击者是AI的唯一影响在于，OpenAI的代理未被指示保持隐蔽。“代理并非疏忽，只是没有理由保持安静，任务目标是完成任务表现最佳，”AI漏洞猎人公司XBOW首席信息安全官Nico Waisman表示。
Waisman还指出，Hugging Face的最大失误是单一被窃取凭证赋予了代理多个系统的高权限。
尽管如此，俗话说“攻击者只需成功一次”，防御任何黑客都不易。
SYON Security董事总经理Vincent Yiu表示：“Hugging Face本可加强检测，但坦率说，并非所有组织都做得很好。2026年运营基础设施并保持业务存活并不容易，黑客无处不在。”
RunSybil的Ionescu曾在Mandiant和Meta参与事件响应，他认为Hugging Face在了解模型能力的基础上采取了“合理措施”。
“很难界定哪些行为是恶意且需报警，哪些只是正常工作行为。单凭行为量并非红旗，”Vlad说。
网络安全研究公司Trail of Bits CEO Dan Guido认为，OpenAI应承担部分责任，因为未能及时发现持续多日的攻击，而Hugging Face则值得肯定，因为最终自行检测到了攻击。
“过去识别复杂攻击是难点，现在难点可能是从攻击者制造的噪音中筛选出真正的攻击，”Guido说，“没人会手动阅读17000多条重构操作记录，Hugging Face不得不开发工具来重建时间线。”
为此，Hugging Face不得不借助自身AI。公司表示，由于前沿模型因安全限制无法使用，他们采用了中国公司Z.ai的开源模型GLM 5.2。Hugging Face称这些前沿模型“无法区分事件响应者和攻击者”。
随后，Hugging Face结合AI与人工共同调查了由OpenAI大语言模型驱动的黑客。这种情况相对新颖。但更重要的是，此次事件表明，传统的网络安全理念和方法依然是抵御AI黑客的重要防线。
