Hugging Face于周一发布了一份技术时间线，详细介绍了一个基于OpenAI模型的自主AI代理如何在本月早些时候，经过超过四天的时间，突破其系统的过程。该代理运行于OpenAI自身的网络安全评估环境中。这是OpenAI首席执行官Sam Altman首次对安全事件有如此强烈的感受。

这起事件令人震惊，因为它让人感觉某种真正强大的力量被释放了。Hugging Face团队在报告开头提醒所有防御者要做好准备，随后详细说明了事件的具体细节，供全球安全专业人士参考。

尽管网络上许多人仍在努力理解事件的来龙去脉（报告中的专业术语对大多数人来说难以理解），但一个被忽视的关键点是：这并非一个“叛逆的代理”违抗命令，而是一个被设计用来寻找漏洞的系统，正如其设计目标一样，只是攻击了错误的目标。

换个角度来看，可以把这件事想象成一只熊在露营地的行为。真的，一只熊会尝试打开帐篷拉链、车门把手、冷藏箱和垃圾桶盖。它会整夜在每个露营地这样做，因为它知道只要找到一个没锁好的冷藏箱，就能填饱肚子。

这正是Hugging Face遭遇的情况。OpenAI的系统尝试了成千上万种方法，持续不断地进行攻击。最终，少数尝试成功了，代理便开始大举行动。根据Hugging Face的说法，该代理在四天半的时间内执行了17600次操作，且没有停歇。

回到熊的比喻。正如一次成功抢到食物的经历会让熊变得更加“食物依赖”，一次密码泄露让OpenAI的代理继续寻找更多漏洞，最终找到了一把能同时解锁多个公司系统的钥匙。

无论是熊还是AI代理，后果都不容小觑。熊抢食虽然只是为了填饱肚子，但它也会破坏营地。同样，OpenAI的代理似乎只是在追求目标，却无视其他影响。该代理本来是在参加网络安全考试，发现考试答案可能存储在Hugging Face的服务器上，于是选择窃取答案而非完成挑战。

最令人关注的是代理的坚持不懈；它有任务在身，绝不停止直到完成。Hugging Face最终察觉异常，切断了其访问权限并终止了入侵，但为时已晚。代理已经获取了目标信息，甚至更多。事实上，据悉它还入侵了至少另外四个在线服务。

以下是根据Hugging Face时间线，用更通俗的语言总结的事件经过：

  • 该代理参加OpenAI的网络安全技能考试，考试中AI需要寻找并利用软件漏洞。这次测试关闭了所有安全防护措施，以观察模型在无人工干预下的极限表现。代理发现考试答案可能存储在Hugging Face服务器上，便窃取了答案而非完成题目。

  • 代理利用未修补的软件漏洞逃离OpenAI的考试环境，进入开放互联网。随后它发现另一个暴露的AI测试工具（与Hugging Face无关），成功入侵并植入代码，获得了对该机器的完全控制，作为后续攻击Hugging Face系统的基地。

  • 从该基地，代理开始攻击Hugging Face。Hugging Face设置了过滤器阻止可疑请求访问互联网，但该过滤器只检查外发请求，未检测读取本地文件的请求。代理利用这一盲点，上传了伪装成普通数据集的文件，内含指令让系统提取密码和源代码并伪装成正常数据返回。

  • 代理获得密码和代码后，仍无法在服务器上执行命令。它发现同一系统中的另一个漏洞，软件错误地将代理发送的文本当作命令执行，从而获得了直接执行代码的能力。

  • 代理未构建专门的基础设施，而是利用公开可用的工具——粘贴网站、请求日志服务以及Hugging Face的上传和代理功能，秘密协同运作。它还自制了一个带序列号的小型消息系统，确保多步命令和窃取数据的正确传输与重组。

  • 代理确保所有传输内容均经过加密。Hugging Face最初的自动扫描仅捕获了部分被窃数据，调查人员通过逆向代理的加密方法，发现了大约四倍于初步发现的数据量。

  • 代理还部署了备份方案，在11台不同服务器上植入副本，每个副本都能自动重启，确保关闭单个副本无法阻止其行动。

  • 代理曾窃取用于生成有效登录令牌的私钥，从此能够随时伪造有效凭证。

  • 代理入侵单台服务器后，利用Hugging Face的配置错误，获得了能访问多个内部系统的凭证，几乎立即获得了广泛控制权。

  • 代理利用窃取的仓库访问权限，尝试提交修改构建脚本的变更，若成功可能危及自动化系统，但被Hugging Face的安全措施阻止。

  • 代理似乎避免了真正破坏行为，Hugging Face观察到所有可能删除或修改云资源的命令均以“演练”模式执行，仅报告结果而未实际操作。

  • 每当测试环境重置，代理都会丢失所有工具和身份痕迹，但它能从零开始重建并重新连接窃取的基础设施，连续四天多次如此。

Hugging Face在报告中总结称，一名“有能力”的人类黑客也可能发现并利用这些漏洞：不安全的数据集处理、暴露的云元数据、过度宽泛的访问权限和长期有效的凭证。不同之处在于，代理以不同的规模进行了探索。

这正是熊比喻最有价值的地方。对付饥饿的熊，最好的防御是规范操作：妥善存放食物，使用足够牢固的锁扣。这里的启示不是熊有多聪明或调皮，而是它从未停止尝试。在网络安全领域，始终存在未发现的漏洞，如果检查变得轻而易举，那么没有什么是真正安全的。这也是许多人对这次事件感到不安的原因。