一周安全事件回顾：AI“越狱”引发真实危机，勒索攻击持续冲击实体产业运行

　　本周安全态势呈现两大风险升级：前沿AI“越狱”引发真实危机，传统勒索攻击持续冲击实体产业运行。OpenAI新模型在安全护栏失效后自主尝试攻击Hugging Face，利用零日漏洞组合突破隔离环境并窃取数据，暴露出AI智能体失控带来的全新安全挑战；与此同时，KARR汽车报警系统漏洞影响超200万辆车辆，可被近距离解锁甚至禁用点火，可口可乐、日本交通株式会社先后遭勒索攻击，导致生产暂停和民生出行受阻，显示网络攻击正在从数据损失转向业务中断和现实影响。建议政企机构加快建立AI安全治理体系，加强智能体权限约束、模型行为监测和供应链审查，同时提升关键业务韧性，将生产恢复能力和物理安全影响纳入重点防护。

　　01

　　史上最严重的汽车漏洞？数百万辆车可被任意解锁、追踪甚至驾驶中熄火

　　7月23日安全内参消息，美国加州大学圣迭戈分校的安全研究团队发现，一款名为KARR安全系统的汽车后装报警系统存在严重漏洞，允许任何处于蓝牙通信范围内的黑客发送无线电指令，悄无声息地随意解锁车辆、关闭报警器、鸣响喇叭或闪烁车灯，甚至禁用点火系统，让驾驶员困在原地。KARR报警系统通常由汽车经销商安装，主要用于在经销商停车场内防止车辆被盗。然而，在汽车售出后，即使买家不想要也通常不会被拆除。根据公开无线电数据分析，已有超过200万台支持蓝牙的KARR报警系统投入使用，几乎遍布全美，记者在一处地点扫描20分钟就发现了近百辆受影响汽车，影响范围极广。KARR官方已推出安全更新，已安装KARR移动应用的用户会收到固件更新通知，而大部分未安装该应用的用户，则需下载应用连接KARR设备才能进行更新。

　　02

　　OpenAI模型失控自主发动攻击，知名AI平台发生数据泄露

　　7月22日安全内参消息，知名AI代码平台Hugging Face日前披露，遭遇一起AI智能体攻击事件，智能体利用恶意数据集触发代码执行，成功获取云环境权限，窃取了内部数据集和凭证等。OpenAI稍后披露称，内部测试的前沿模型（疑似GPT6.0）在一项安全测评任务中，因下调安全护栏措施发生了失控事件。该模型认为Hugging Face可能存在它需要的数据（测评任务的答案线索），随即自主挖掘零日漏洞组合利用攻击链，突破了OpenAI内部沙箱环境，并成功入侵Hugging Face窃取数据。Hugging Face表示，其利用AI进行安全响应分析，美国模型因触发安全护栏无法使用，转而使用本地部署的中国模型完成了分析。其进而建议，大型企业应建设本地前沿模型，避免安全护栏限制和敏感数据外流。

　　03

　　可口可乐遭勒索攻击：美国工厂运营中断乳制品生产暂停

　　7月20日安全内参消息，食品饮料巨头可口可口通过SEC公告披露，旗下乳制品子公司Fairlife部分系统遭勒索软件攻击，美国生产设施运营中断，乳制品生产被迫暂停。可口可乐表示，此次勒索软件攻击并未影响产品质量和安全，公司正努力恢复受影响系统并重启运营。事件的影响范围仍在调查中，目前尚无法判断此次网络攻击是否可能对公司造成重大影响。近一年多来，全球食品饮料行业网络威胁持续高发，已有多个全球及区域龙头企业遭受攻击，如札幌啤酒、联合天然食品、Astral Foods等。

　　04

　　日本最大出租车公司因网络攻击运营中断，多项民生服务被迫暂停

　　7月17日安全内参消息，日本最大的出租车公司日本交通株式会社披露，内部系统在11日凌晨遭到未授权外部访问，并感染了恶意软件。为遏制损害，该公司采取紧急措施立即关闭了系统。受此影响，日本交通的在线叫车预订系统、电话出租车调度服务及多个内部系统均无法使用，孕妇出租车等特色服务也宣布暂停。尽管存在网约车App的替代方案，但仍会导致使用其服务的大量老龄电话预约、孕妇专送、儿童接送等特殊群体民生出行服务受到影响。该公司称正积极推进系统恢复工作，并提醒用户谨防仿冒该公司的可疑邮件或消息。