Hugging Face本周披露，其检测并遏制了一次生产基础设施入侵事件。该攻击由自主AI Agent系统端到端驱动，而防御方则利用其基于AI的法医分析手段进行反击。

自主AI Agent攻入生产基础设施

攻击者利用Hugging Face数据集处理流程中的两个代码执行漏洞：一个远程代码数据集加载器，以及数据集配置中的模板注入漏洞。

一旦进入某个处理工作节点，攻击者便将权限提升至节点级别，窃取了云与集群凭据，并在一个周末内于多个内部集群间横向移动。

此次未授权访问波及了少量内部数据集和服务凭据。不过，Hugging Face未发现公开模型、数据集、Spaces或软件供应链遭到篡改的证据。

这起事件反映出一个更广泛的行业趋势。安全厂商Sysdig近期披露了一起名为JADEPUFFER的攻击事件，称其为首次完全自主的AI驱动勒索软件行动——该AI Agent独立入侵一台暴露于互联网的服务器，横向移动、加密文件，并在零人工指令输入的情况下发出勒索赎金要求。

此外，Check Point《2026年年度AI安全报告》记录了越来越多由AI驱动的实时入侵事件，漏洞披露与利用之间的窗口已从天级压缩至小时级。

AI防御重建17,000条攻击记录

此次攻击的不同之处在于其规模与自主性：入侵行动在一群短生存期的沙箱中执行了数千次独立操作，使用部署在公共服务上的自迁移命令与控制基础设施——这正是长期预言的“Agent型攻击者”场景。

Hugging Face自身的异常检测管道（基于大语言模型的安全遥测分类机制）最先标记出该入侵事件，通过关联那些在日常噪声中易被忽略的信号，发现了异常。

为从超过17,000条记录的攻击者行为中重建完整的攻击时间线，Hugging Face在整个日志上运行了LLM驱动的分析Agent，将通常需要数天的工作压缩至数小时。

调查中的一个关键发现是：商业前沿模型API拒绝处理此次法医分析，因其安全护栏无法区分正在提交真实利用载荷与C2工件的事件响应人员，和实际攻击者。

商业模型护栏暴露攻防不对称

为继续调查，Hugging Face转而使用运行在自有基础设施上的开放权重模型GLM-5.2。这不仅绕开了商业模型的策略限制，也确保攻击者数据和相关凭据不会离开内部环境。

这一过程暴露出明显的攻防不对称：使用越狱或不受限制模型的攻击者不会受到安全策略限制，而依赖托管商业模型的防御者，却可能在事件响应和恶意样本分析过程中被拦截。

Hugging Face建议用户轮换访问令牌，并审查近期账户活动。该事件也表明，自主进攻型AI工具正从理论走向实践，组织需要提前准备经过验证的自托管AI模型，既避免法医分析受限，也防止敏感攻击数据外泄。

随着数据集、模型和AI Agent逐渐成为新的攻击入口，安全团队也需要以AI驱动的检测、分析和响应能力，在机器速度层面应对AI驱动的攻击。