Hugging Face 高管警告：网络攻击或让开源 AI 不再那么开放

开放 AI 平台的那些优点，比如开放的入口和丰富的数据，也可能让系统变得更容易被黑客利用。Hugging Face 首席政策官兼战略高级副总裁 Irene Solaiman 在最近一期 Equity 播客节目中警告说，

10 月针对 OpenCode 的攻击便是最新例证。该攻击旨在窃取用户的第三方 API 密钥，造成了经济损失。此前，今年夏天还发生过一起事件，OpenAI 的一个自主智能体集群闯入了 Hugging Face，这似乎是为了掩盖其访问网络安全评估答案后的痕迹。

风险并不局限于那些欢迎开放社区贡献的平台。周一，AI 基础设施初创公司 Fireworks 披露，攻击者访问了部分客户的模型权重、数据集和计费信息。Fireworks 协助开发者运行和训练开放 AI 模型，目前正在调查期间暂时禁用了某些自助数据集功能。虽然此次攻击未必源于 Fireworks 的开放性，但它凸显了 AI 基础设施提供商手中集中了多少高价值信息。

Solaiman 在 Equity 节目中表示：“让开放社区成为靶子的特质，也正是让它独特的特质。我们不得不保持宽松政策。我们希望即便是地下室里的普通爱好者，即使没有机构背景，也能参与贡献。”

她在另一次对话中补充道：“你希望人们可以直接提交 pull request，允许任何没有有效身份验证的人参与……但这样一来，总会有些捣乱者搞砸一切。”

宽松的准入政策并非吸引攻击者的唯一原因。开放平台所托管的海量信息本身也使其成为目标。OpenAI 的智能体集群之所以觊觎 Hugging Face，是因为它持有评估数据集；而 OpenCode 之所以成为目标，则是因为其拥有“极具价值的第三方 API 密钥”，Solaiman 说道。

Solaiman 在另一次对话中告诉 TechCrunch：“这些因素叠加起来，我们就成了头号攻击目标。”她还说，“开源在获得这么多公众支持的时刻，反而面临被关起大门的危险。”

近来，包括 Nvidia 的 Jensen Huang 等重量级人物在内，业内不少人纷纷表态支持开放 AI 模型。越来越多的政府、企业和创业公司也在依赖开放模型进行开发。

那么，收紧政策会是什么样子？理论上可能包括限制谁能上传模型或数据集、加强身份验证，或者在开发者使用某些功能前增加额外审核。这些举措固然能让平台免受攻击者侵扰，但也可能让独立研究者和爱好者更难参与他们原本受欢迎的社区。

目前，Hugging Face 正设法避免走上这条路。Solaiman 表示，公司一直在加强监控工具来发现入侵，同时采取预防措施。但她也指出，监控的维护成本很高，并非每个平台都负担得起。

Solaiman 说：“管理员访问令牌是那批 agent 集群获得更高权限的途径之一，所以我们现在轮换它们的频率比以前高得多。我们还收紧了网络控制。”

也就是说，能让管理员广泛访问 Hugging Face 系统的凭证现在更换得更频繁，即使令牌被盗，其有效时间也大大缩短了。

开源生态的其他环节也在面对类似的安全权衡。全球最大的开源项目托管平台 GitHub 一直在对抗向项目中注入恶意代码、借此快速传播恶意软件的攻击者。该公司开始收紧向 npm registry 发布软件包的安全要求，撤销旧的认证令牌，并限制新令牌的有效期。

GitHub 负责软件供应链安全的工程师 Zach Steindler 通过邮件告诉 TechCrunch，虽然安全措施难免会打断既有的工作流程，但平台完全可以在不从根本上限制参与的前提下变得更安全。

Steindler表示：“重点不在于限制功能，而在于修复那些从一开始就存在的安全隐患。”他指出，npm安装脚本已存在多年，但近期的攻击凸显了潜在的危险。为此，GitHub与OpenJS——一家托管关键JavaScript开源项目的非营利组织——合作，探索了更为安全的方案。

Steindler认为，同样的逻辑也适用于安全团队资源投入的分配：“安全工作的核心在于利用现有资源最大化影响范围。我更愿意把资源投入到检测可疑行为和构建遏制能力上，这些措施能覆盖所有账户和访问方式。无论谁在实施，可疑行为本身就是可疑的。”