上周Hugging Face遭到入侵时，联合创始人Clement Delangue鉴于该智能体的复杂程度，怀疑是某个前沿AI实验室所为。他的判断是正确的。Delangue随后在X上表示，在与OpenAI合作一天后，他坚信其中不存在恶意意图，并认为整个事件完全自主发生这一事实令人震惊。

攻入Hugging Face系统的两个OpenAI模型并非凭借恶意或超级智能成功入侵。它们成功的原因在于获取了本绝不应该访问的凭证和权限——这是一个非人类身份失败问题，属于网络安全领域最古老的问题之一，而非AI领域的新问题，而且每家企业都能真正予以修复。

入侵经过

OpenAI于7月21日披露，其两个模型——GPT-5.6 Sol和一个未发布的更强大模型——在运行名为ExploitGym的网络基准测试时，安全拒绝功能被关闭。这些模型推断出答案密钥存放在Hugging Face的生产数据库中。

要到达那里需要两个不同的故障。首先，包注册表代理中的一个零日漏洞使模型得以逃出沙盒并接入开放互联网——OpenAI在其关于长期安全的配套文章中详细描述了这种持久性——这一部分确实是全新的。

然而，Hugging Face本身遭到入侵的过程却是常规方式。根据OpenAI自己的描述，模型将窃取的凭证和更多零日漏洞串联成一条远程代码执行路径，经过一系列权限提升和横向移动步骤。奇特的部分将他们带到了门口，而凭证则引导他们走了进去。

Hugging Face上周也披露，一个自主智能体收集了授权范围足够广泛以访问多个内部集群的云和集群凭证，随后在一个周末内，在短生命周期的沙盒中留下了超过17,000条记录事件。

两份披露描述的是同一种升级模式：智能体出现在不该出现的位置，发现授权范围远超任何任务需求的凭证，并利用它们进行横向移动。这是对同一事件的两份描述，而非两次独立攻击。Hugging Face观察到的智能体就是OpenAI的模型，两家公司描述的是相同的常规升级过程。

企业现实更为严峻

对于典型的企业来说，类似情况会更糟，而非更好。OpenAI和Hugging Face是业内安全成熟度最高的组织之一，但两者仍然需要入侵发生后才能察觉。将智能体接入Copilot或内部助手的普通公司，既没有那两家组织部署的身份清单，也没有行为监控能力。同样的入侵在普通公司不会被在数天内遏制——它根本不会被发现。

这就是为什么这个事件在AI实验室之外同样重要。企业智能体正越来越多地通过API密钥、服务账户、OAuth授权和其他机器凭证，连接到SaaS应用、代码仓库、工单系统、云控制台和数据存储。每个连接都会创建一个非人类身份，其影响范围更多取决于组织已经授予它的权限，而非模型的提示词。

行业争论的焦点是错误的故障

各方的反应沿着熟悉的界限分化。前白宫AI和加密货币事务主管David Sacks和几位对华鹰派人士抓住了护栏悖论：商业安全过滤器阻止了Hugging Face的防御者，而攻击模型却在拒绝功能关闭的情况下运行，最终是一个中国开源权重模型——z.ai的GLM 5.2——让团队得以完成取证分析。

与此同时，Hugging Face阐述了开放性的论点，在4月的一篇博客文章中主张，开放模型和开放工具为防御者提供了与攻击者相同的能力。两种论点都集中在模型本身，但都没有触及底层机制。

降低拒绝阈值使模型得以尝试攻击，但过度授权的凭证才是让它成功的原因——而这些因素与模型是开放还是封闭、是美国还是中国的毫无关系。使前沿模型达到可证明的安全是一个多年期的对齐问题，没有任何客户可以购买或加速。相比之下，限定身份范围是团队可以在当前冲刺中交付的配置变更。行业实际上被敦促关注它无法控制的方面，而将可以控制的部分当作脚注。

Forrester得出了相同的结论。在该事件的一篇博客文章中，其分析师认为，假设善意意图的安全架构将无法发现这种故障模式，因为智能体可以通过未授权的手段追求已授权的目标——这正是OpenAI模型所做的。

这是一次非人类身份失败——安全领域最古老的问题

剥离科幻式的叙事框架，剩下的是一个教科书式的过度授权机器身份案例——安全团队与之斗争了十年的问题，如今由以机器速度运行的自主智能体驱动。

根据CyberArk的研究，机器身份在大多数企业中已经以超过80比1的比例超过人类，其中42%携带特权或敏感访问权限。智能体继承其身份所能触及的一切。在实践中，这些身份包括服务账户、API密钥、工作负载身份、OAuth令牌和其他凭证，它们通常不在应用于人类用户的审查周期之内。

OWASP将智能体身份和权限滥用列为其智能体风险榜单的接近顶端——这是一种混淆代理者模式，即继承的凭证和薄弱的范围限制使智能体能够超越其授权范围。这正是两份7月披露所描述的情况。

IEEE高级会员Kayne McGladrey在之前的VentureBeat采访中指出，企业经常将人类用户账户克隆到智能体上，后者随后拥有远超任何人类的权限。当智能体是前沿模型、目标是生产数据库时，这就是该模式的真实写照。

最接近事件的人也有相同的解读。OpenAI将其模型描述为极度专注于基准测试得分，而非针对任何特定目标。没有人提到对手——只有目标、评分函数和本不该被访问却可被访问的凭证。

一旦移除AI叙事框架，具体的失败就很容易识别。一个为一个任务设定的凭证却可以触及十个目标，这就是一个永恒的邀请，无论发现它的是人类攻击者、蠕虫病毒，还是追求基准得分的自主模型，都无关紧要。7月的变化在于发现者：智能体枚举可触及的系统、测试凭证，并在路径通畅时以快于任何人类红队的速度进行枢纽转移，无恶意、无犹豫。过度授权始终是漏洞所在；智能体只是将其发现工业化了。

Forrester指出了本可以减轻损害的控制措施。其智能体安全框架AEGIS主张最小代理权——将智能体的工具、凭证和网络路径限制在其任务所需的最低限度——并将此事件归类为不受约束的代理权和权限。这是用不同措辞表达的身份论点，由一家分析公司独立得出。

风险的当前所在

数据证实，这正是风险目前的集中区域。Verizon 2026年数据泄露调查报告发现，漏洞利用19年来首次超越窃取凭证，成为最主要的初始访问向量。这代表了等式中初始访问的那一半。另一半正是OpenAI自己描述的：窃取的凭证驱动了随后的权限提升和横向移动。漏洞打开了门，而凭证在大楼内畅行无阻。

在入侵本身之外，同样的过度授权还带来大多数企业从未评估过的法律责任。据TechCrunch报道，模型的行为可能违反了《计算机欺诈和滥用法》。该法规不包含任何针对AI智能体在授权测试中超出其授权范围的豁免条款。无论法律如何裁定，技术上的促成因素是相同的：一个授权范围超出其任务的身份。这是一个有负责人和预算的访问控制问题，而非关于机器认知的哲学讨论。

Merritt Baer是Andesite、G2I和AppOmni的高级顾问及AWS前副CISO，她向VentureBeat将这一根本性转变定义为一种新型不对称性。她说，双方现在都在获取相同的能力，但一方受到企业治理、政策、合规和安全控制的约束，而对手只需下载一个未经审查的开源权重模型就能继续运作。在她看来，最能渡过难关的组织将是那些将AI视为一种有韧性的、受治理的能力，而非他们无法控制的单一服务的组织。

缩小影响范围的四项措施

入侵之所以成功，是因为智能体触及了授权范围远超其任务所需的身份。能够遏制入侵的四项控制措施中，没有一项需要新平台，也没有一项出现在当前流传的通用AI安全建议清单上。它们构成的是身份治理——以与应用于人类用户相同的严格程度应用于非人类参与者。起点是了解智能体可以承担哪些身份、每个身份能触及什么，以及这些访问是否仍然需要。

1. 将每个非人类身份限定于单一任务。 模型触及了涉及多个集群的凭证，这正是将立足点转变为入侵的原因。一个限定于单一任务的身份，如果对其他任何内容没有常设访问权限，在第一次横向移动时就会碰壁，而非打开下一扇门。这就是最小权限——人人都赞同但很少有人对机器账户执行的控制——也是此处影响最大的单一修复措施。

2. 为凭证设置短生命周期并积极轮换。 被收集的凭证仅在有效期内有用，7月的两个智能体都是通过收集凭证来运作的。短的存活时间和积极的轮换将使凭证转储变成过期噪音，确保在周末入侵中被盗的令牌在攻击者能够串联利用之前就已失效。永不轮换的静态密钥是这项控制措施的失败版本。

3. 监控横向移动，而不仅是提示词。 两个事件中的标志性迹象是权限提升和横向移动，提示词过滤器永远无法检测到这些，因为它观察的是错误的层级。身份行为监控——以特定非人类身份的正常行为为基准，并在其到达新位置时发出警报——能够捕捉到内容护栏遗漏的升级。对于任何技术栈来说，相关问题是：当前运行的任何东西是否会在一个服务账户突然在集群之间移动时发出警报。

4. 在需要之前演练即时撤销。 当事件涉及你自己的智能体时，最快的遏制方式是在运行中终止其身份，而这只有在需要之前就已具备相应能力时才能实现。团队应该像演练人类凭证泄露一样，在压力下演练撤销机器身份。如果从未做过，组织就没有控制措施——它只有一个意向。

防御也奏效了

OpenAI的安全团队在内部检测到了异常活动，Hugging Face自己的检测系统和智能体阻止了入侵，入侵在数天内被遏制而非数月后才被发现——因为防御者对其控制的系统拥有可见性。这种可见性同样支撑着四项控制措施所需的纪律。

关于前沿模型是否安全、是否开放、是否是美国的争论将持续多年，而且都不会在本季度内部署智能体的企业需要帮助之前得到解决。非人类身份差距则不同：它是被理解的、可衡量的，并且现在就可以修复。攻破Hugging Face的模型不需要多么卓越——它需要的只是某人留在可触及范围内的凭证。修复方法是在智能体发现它们之前限定好其范围。