Hugging Face 遭 AI 自主代理入侵：首例已確認的 AI 平台 AI 攻擊事件全解析

首例確認的 AI 代理對 AI 平台的端對端自主攻擊，就發生在 Hugging Face 身上。這不是一般駭客手動操作的入侵——攻擊者部署了一套自主代理框架，在一個週末內執行了數萬次獨立動作，橫向移動穿越多個內部叢集，幾乎是照著安全圈一直在警告的「代理攻擊劇本」走完全場。

攻擊從一個惡意資料集開始，利用 Hugging Face 資料處理 pipeline 裡的兩個漏洞取得伺服器執行權限，再從那裡拿到雲端與叢集憑證向內延伸。Hugging Face 的描述是：攻擊由「一個自主代理框架」執行，架設在大量短命的沙盒上、指揮控制節點則藏在公共服務裡，用的 LLM 至今仍未確認。這套設計讓溯源工作更複雜——攻擊者不留下固定基礎設施，Hugging Face 要追的是超過 17,000 筆事件紀錄。

最諷刺的細節在這裡：Hugging Face 一開始嘗試用商業 API 的前沿模型來做事後鑑識，結果被擋住了。原因是鑑識工作需要餵給模型大量真實攻擊指令，商業模型的安全護欄無法分辨「正在分析攻擊的資安團隊」和「真正的攻擊者」。攻擊者本人不受任何使用政策約束，反而是防守方被自己的工具卡住。最終 Hugging Face 改用中國開源模型 GLM 5.2，跑在自己的基礎設施上，才完成了時間軸重建、憑證曝露清點、以及真實損害與誘餌行為的辨別——原本要花幾天的工作，用 AI 一個小時內完成。

這個細節揭示了一個結構性矛盾：商業模型的護欄是為了防止濫用而設計的，但這個設計假設「提出敏感請求的人是壞人」。當防守方需要分析真實攻擊內容時，護欄反而成為障礙。開源模型因為可以在自有基礎設施上運行、不受第三方使用政策限制，在這種場景下反而更有效用。這不是說開源比商業安全，而是說「誰控制推論環境」在資安工作裡是一個實質問題。

目前 Hugging Face 表示漏洞已修補、攻擊者存取已切斷、受影響節點已重建、憑證已撤銷並輪換，也已通報執法機關並引入外部資安專家。但客戶或合作夥伴資料是否受影響，調查仍在進行，尚未發現面向公眾的模型、資料集或 Spaces 遭到竄改。Hugging Face 建議用戶檢視近期帳號活動並輪換存取 token。

AI 代理攻擊「理論上可行」的討論已經吵了一段時間，這次是第一次有一個主要 AI 平台公開拿出完整案例。攻擊者可以無限複製代理、24 小時不間斷執行、成本幾乎只有 API 費用；而每個需要上線作業的防守員都有班次、有疲勞、有護欄。這個非對稱性才是這起事件真正值得盯住的地方。Hugging Face 能在攻擊發生後一個小時內重建完整時間軸，說明 AI 防守工具已經可用；但下一個平台能不能在攻擊期間即時偵測，而不是事後復盤，是更難的問題。