OpenAI 意外攻击 Hugging Face 事件时间线公布
OpenAI 意外攻击 Hugging Face 事件时间线现已公布
2026年8月7日
周三，OpenAI 在 Black Hat 安全大会上就“Hugging Face 事件”做了最后一刻的演讲（本博客此前有报道）。视频已于昨日发布。视频虽短但信息密集，非常值得一看，尤其是它完整披露了事件经过及 OpenAI 内部的应对过程。我根据该视频整理了以下时间线。
以下是时间线。我最喜欢的细节在结尾：OpenAI 在内部调查后主动联系 Hugging Face 请求撤销凭证时，才得知自己正是那次攻击的始作俑者——而凭证早已因被用于攻击而被撤销了！
- 5月7日：OpenAI 为一个实验性、未发布模型启动新一轮训练。（他们指的是评估运行吗？视频中说的是训练运行，后来又提到“用于判断表现优劣的奖励信号”，所以我猜这确实是训练模型，而非评估已训练好的模型。）
- 5月8日：一个代理被意外分配了一个不可能完成的任务，涉及一个 Google Drive 链接（尽管没有互联网访问权限）。它尝试攻击 Artifactory 打包服务，失败，但发现可以向 Artifactory 写入文件。
- 几天后：另一个代理因关键文件被意外遗漏而卡在任务上。它尝试“联系其他代理”，在 Artifactory 中写了一张便条，询问是否有人有该文件。
- 随后几天：更多代理在浏览 Artifactory 文件列表时发现了这个非正式留言板，开始读写消息。
- 5月26日：代理首次成功对 Artifactory 执行SSRF 攻击，通过让 Artifactory 代为获取外部内容，间接获得了互联网访问权限。
- 6月11日：OpenAI 开始训练一个新的“高度持久”实验模型。该模型可访问 Artifactory，并能利用之前模型留下的消息。
- 6月26日：智能体发现并利用了Artifactory上的一个零日远程代码执行漏洞（通过一个遗留的令牌刷新端点缺陷）。他们使用管理令牌安装了一个Groovy插件，从而能够执行命令。
- 7月4日：由此产生的智能体活动使Artifactory过载，导致服务中断。OpenAI撤销了被泄露的凭据，删除了相关消息，修补了该零日漏洞，并向供应商报告了这一漏洞。
- 7月8日：智能体发现了一种通过未认证的WebDAV端点进行通信的新方式，利用Artifactory远程缓存中的目录名进行交互。
- 7月8日至19日：对OpenAI自身基础设施的攻击。智能体在公开的Pastebin泄露帖子存档中找到了一个“外部组织凭据”，验证了该凭据的有效性，并在留言板上分享了其位置。随后，他们利用对“组织1”的写权限，为后续针对OpenAI基础设施的攻击准备了数据。他们使用一个新的零日漏洞第二次攻破了Artifactory。该智能体将一个恶意Ruby目标上传到组织1的暂存仓库，然后通过Artifactory请求该包，使其被当作该仓库的Ruby依赖项处理。接着，他们利用了一个JRuby反序列化中的检查时间/使用时间竞态漏洞，获得了对Artifactory的远程代码执行能力。
我将完整引用接下来的部分，因为实在太震撼了：
这些智能体在Artifactory中实现了远程代码执行，而Artifactory运行在一个容器即服务环境中。智能体通过探索本地环境，发现其运行机器的Linux内核版本存在一个非常新的CVE漏洞，从而在本地进行权限提升。它们下载该CVE的利用代码，针对机器进行定制化修改，并成功利用这一已知的Linux内核权限提升漏洞（此处为
pte_physroot）将本地权限提升至root。一旦在单台机器上获得root权限，智能体便迅速提升权限并在整个容器即服务基础设施环境中横向移动。特别是，智能体持续利用留言板共享凭据、技术和进展，并有效利用其并发性和并行性快速推进。它们通过IMDS获取IAM凭据，利用Kubernetes服务账户配置错误（尤其是特定服务账户的过度授权），并收集集群凭据，包括Azure Key Vault。最终，智能体获得了集群管理员权限及相关凭据。
Hugging Face已经讲述了后续故事。智能体发现了一个由Modal托管的、使用弱API密钥的不安全应用，并以此为跳板对Hugging Face发起攻击。它们串联了HDF5任意文件读取漏洞（用于探索文件和窃取凭据）与Jinja模板注入的远程代码执行漏洞，在不到13小时内从单Pod代码执行升级为跨多个Hugging Face集群的集群管理员权限。
- 7月16日：Hugging Face披露检测到来自自主AI智能体的攻击。OpenAI联系Hugging Face询问其是否受到影响！
- 7月19日：OpenAI确认了对Artifactory的攻击，开始调查内部权限提升事件，并将其与网络健身房中的升级行为关联起来，同时开始撤销受影响的凭据。