AI 智能体发动网络攻击？Hugging Face 平台中招了

　　 IT之家7月20日消息，美国人工智能公司Hugging Face(抱抱脸)上周(7月16日)发表声明称，公司遭遇一起由AI智能体发起的网络攻击。

　　 IT之家从Hugging Face公告了解到，本次攻击完全由自主式AI智能体(IT之家注：Autonomous AI Agent)发动，少量内部数据集及部分服务凭证遭到未经授权访问。

　　目前Hugging Face仍在评估合作伙伴、客户数据是否受到影响。截至目前，公司没有发现任何公开模型、数据集或Spaces服务遭到篡改。平台内的软件供应链(含容器镜像、已发布软件包)也确认未受影响。

　　分析报告显示，本次攻击始于数据处理流水线。该智能体背后的操纵者上传了一个恶意数据集，利用平台数据处理流程中的两处代码执行路径漏洞，在数据处理工作节点上执行了恶意代码。

　　获得初始权限后，攻击者进一步取得了云平台和集群凭证，并在周末期间横向渗透至多个内部集群。整套攻击流程均由AI智能体框架完成，该智能体似乎基于某种面向安全研究的AI系统构建，不过目前无法确认它到底基于哪个AI大模型。

　　此外，该智能体在大量生命周期极短的沙盒环境中执行了数万次独立操作，并利用公共服务搭建能够自主迁移的命令与控制(Command-and-Control，C2)基础设施。

　　 Hugging Face目前已修复该漏洞，并邀请外部网络安全人员调查此次事件。建议所有用户更换账户访问令牌(Access Token)、检查账户近期活动是否异常。