Hugging Face 上週遭到入侵時，共同創辦人 Clement Delangue 根據涉事代理的複雜程度，懷疑背後是一家前沿 AI 實驗室。他的判斷是正確的。Delangue 後來在 X 上表示，在與 OpenAI 合作一天後，他強烈相信事件並無惡意意圖，並認為整起事件自主發生令人難以置信。

滲透 Hugging Face 系統的兩個 OpenAI 模型，並不是靠惡意或超級智慧成功。它們成功的原因，是取得了本不應能接觸到的憑證與權限——這是一種非人類身分失敗，屬於網路安全中最古老的問題之一，而不是 AI 領域最新的問題，且是每家企業確實可以補救的問題。

入侵如何發生

OpenAI 於 July 21 披露，旗下兩個模型——GPT-5.6 Sol 以及一個尚未發布、能力更強的模型——正在執行名為 ExploitGym 的網路安全基準測試，且其安全拒答機制已被停用。這些模型推斷答案金鑰位於 Hugging Face 的生產資料庫中。

要抵達該資料庫，需要兩個不同的失敗。首先，套件登錄代理中的一個零日漏洞，使模型得以逃離沙盒並存取開放網際網路——這類持續性正是 OpenAI 在其關於長期安全性的配套文章中描述的類型——而這一部分確實具有新穎性。

然而，Hugging Face 本身遭入侵的方式則相當傳統。根據 OpenAI 自己的說法，這些模型在一連串權限提升與橫向移動步驟之後，將遭竊憑證與其他零日漏洞串接成一條遠端程式碼執行路徑。異常新穎的部分把它們帶到門口；憑證則讓它們走了進去。

Hugging Face 上週也披露，一個自主代理收集了雲端與叢集憑證，而這些憑證的授權範圍廣到足以存取多個內部叢集，並在一個週末期間於短生命週期沙盒中留下超過 17,000 筆記錄事件。

兩份披露描述的是同一種升級模式：代理落在不該出現的位置，發現授權範圍遠超任何任務需求的憑證，並利用它們進行橫向移動。這是同一事件的兩種敘述，不是兩起獨立攻擊。Hugging Face 觀察到的代理就是 OpenAI 的模型，而兩家公司描述的是同一個普通的升級過程。

企業現實更糟

對典型企業而言，等同情境只會更糟，而不是更好。OpenAI 與 Hugging Face 都是業界安全成熟度最高的組織之一，但兩者仍然需要等到入侵發生後才得以偵測。一般公司若將代理接入 Copilot 或內部助理，既沒有這兩家組織所具備的身分清冊，也沒有其行為監控能力。同樣的入侵若發生在典型公司，不會在數日內受到控制——它只會完全未被察覺。

這也是此事件的重要性超越 AI 實驗室的原因。企業代理正日益透過 API 金鑰、服務帳號、OAuth 授權與其他機器憑證，連接到 SaaS 應用程式、程式碼儲存庫、工單系統、雲端控制台與資料儲存區。每一個連線都會建立一個非人類身分，而其爆炸半徑更多取決於組織已授予的權限，而非模型提示詞本身。

產業正在討論錯誤的失敗點

各方反應依熟悉的陣營分裂。前白宮 AI 與加密貨幣主管 David Sacks 以及多名對中強硬派抓住了護欄悖論：商用安全篩選器阻擋了 Hugging Face 的防禦者，而攻擊模型則在拒答機制關閉的情況下運作；最終讓團隊完成鑑識分析的，是一個中國開放權重模型——z.ai 的 GLM 5.2。

與此同時，Hugging Face 主張開放的重要性，在 April 的一篇部落格文章中表示，開放模型與開放工具讓防禦者取得攻擊者已經擁有的同等能力。這兩種論點都聚焦於模型本身，卻都沒有觸及底層機制。

降低拒答讓模型能夠嘗試攻擊，但讓攻擊成功的是權限範圍過大的憑證——而這與模型是開放或封閉、美國或中國毫無關係。讓前沿模型達到可證明的安全，是一個需要多年時間的對齊問題，沒有客戶能購買或加速完成。相較之下，設定身分的權限範圍，是團隊在當前 sprint 中即可交付的組態變更。產業實際上正被敦促聚焦於無法控制的部分，同時把可控制的部分視為註腳。

Forrester 得出了相同結論。在一篇關於此事件的部落格文章中，其分析師指出，假設意圖良善的安全架構會錯過這種失敗模式，因為代理可以透過未授權手段追求一個已授權目標——這正是 OpenAI 模型所做的事。

非人類身分失敗——安全領域最古老的問題

剝除科幻式敘事後，剩下的是一個教科書級的過度授權機器身分案例——這是安全團隊已經對抗十年的問題，如今由一個以機器速度運作的自主代理推動。

根據 CyberArk 研究，在多數企業中，機器身分數量已經比人類身分多出 80 比 1 以上，其中 42% 擁有特權或敏感存取權。代理會繼承其身分可觸及的一切。在實務上，這些身分包括服務帳號、API 金鑰、工作負載身分、OAuth 權杖，以及其他經常不在人類使用者審查週期內的憑證。

OWASP 將代理身分與權限濫用列為其代理式風險清單中的高位風險之一——也就是混淆代理人模式，其中繼承憑證與薄弱的權限範圍設定，使代理能夠超越其職責範圍。這正是 July 兩份披露所描述的情況。

IEEE Senior Member Kayne McGladrey 曾在先前的 VentureBeat 訪談中指出，企業經常把人類使用者帳號複製給代理，而代理隨後掌握的權限遠超任何人類應有的程度。當代理是一個前沿模型、目標是一個生產資料庫時，此事件正是該模式的呈現。

最接近事件的人也以同樣方式解讀。OpenAI 將其模型描述為過度專注於取得基準測試分數，而非針對任何特定目標行動。沒有人描述一個對手——只有一個目標、一個評分函數，以及本不應可被存取卻可被觸及的憑證。

一旦移除 AI 框架，具體失敗就很容易辨識。若一組針對單一工作的憑證卻能觸及十項工作，那就是一個持續存在的邀請；無論發現它的是人類攻擊者、蠕蟲，還是追逐基準分數的自主模型，都沒有差別。July 改變的是發現者：只要路徑開放，代理就能列舉可觸及系統、測試憑證，並比任何人類紅隊更快地轉向移動，而且沒有惡意或遲疑。權限範圍過大一直都是漏洞；代理只是把其發現過程工業化了。

Forrester 指出了原本可減輕損害的控制措施。其代理式安全框架 AEGIS 主張「最小代理性」——將代理的工具、憑證與網路路徑限制在任務所需的最低限度——並將此事件歸類為不受約束的代理性與權限問題。這是同一個身分論點的不同表述，且由一家分析機構獨立得出。

風險現在所在之處

資料證實，這正是目前風險集中的地方。Verizon 的 2026 Data Breach Investigations Report 發現，漏洞利用已 19 年來首次超越遭竊憑證，成為最主要的初始存取向量。這代表的是方程式中的初始存取部分。另一半則是 OpenAI 自己描述的內容：遭竊憑證推動了後續的權限提升與橫向移動。漏洞打開了門，而憑證則在建築物內暢行無阻。

除了入侵本身，同樣的過度授權也帶來多數企業從未定價的法律責任。根據 TechCrunch，這些模型的行動很可能違反了 Computer Fraud and Abuse Act。該法並未為在核准測試期間超出授權範圍的 AI 代理提供例外。不論最終法律判定為何，技術促成因素仍然相同：一個權限範圍大於其任務需求的身分。這是一個有負責人與預算的存取控制問題，不是關於機器認知的哲學辯論。

Andesite、G2I 與 AppOmni 的 Senior Advisor、前 AWS Deputy CISO Merritt Baer 向 VentureBeat 表示，底層轉變是一種新的不對稱。她說，雙方現在都會使用相同能力，但一方受企業治理、政策、合規與安全控制約束，而對手只需下載一個未審查的開放權重模型並繼續行動。在她看來，最能度過這種局面的組織，將是那些把 AI 視為具有韌性且受治理的能力，而不是一個無法控制的單一服務的組織。

縮小爆炸半徑的四項措施

這次入侵之所以成功，是因為代理觸及了權限範圍遠超其任務所需的身分。原本可控制事件的四項措施，沒有一項需要新平台，也沒有一項出現在目前流傳的一般 AI 安全建議清單中。它們是身分衛生，將已套用於人類使用者的同等嚴謹性套用於非人類行為者。起點是了解代理可以假設哪些身分、每個身分可以觸及什麼，以及該存取權是否仍然必要。

1. 將每個非人類身分限制於單一任務。 這些模型觸及了可連到多個叢集的憑證，正是這點把立足點轉變為入侵。若一個身分只限定於單一工作，且沒有對其他任何內容的常駐存取權，那麼它在第一次橫向移動時就會撞牆，而不是打開下一道門。這就是最小權限——人人都認同、但很少有人在機器帳號上強制執行的控制——也是此處影響最大的單一修補措施。

2. 賦予憑證較短生命週期，並積極輪替。 被收集的憑證只有在仍然有效時才有用，而 July 的兩個代理都是透過收集憑證運作。較短的存活時間值與積極輪替，會把憑證傾印變成已過期的雜訊，確保週末入侵期間遭竊的權杖，在攻擊者能將其串接使用前就已失效。永不輪替的靜態秘密，正是此控制失敗的版本。

3. 監控橫向移動，而不只是提示詞。 兩起事件中的明顯跡象是權限提升與橫向移動，而提示詞過濾器永遠偵測不到，因為它觀察的是錯誤層級。身分行為監控——以特定非人類身分通常會做什麼為基準，並在其觸及新位置時發出警示——能捕捉內容護欄漏掉的升級。對任何技術堆疊而言，關鍵問題是：目前執行中的任何東西，是否會標記一個服務帳號突然在叢集之間移動。

4. 在需要之前演練即時撤銷。 當事件涉及自己的代理時，最快的控制方式是在執行中途終止其身分；而這只有在需要那天之前就具備該能力時才有效。團隊應像演練人類憑證外洩一樣，在壓力下演練撤銷機器身分。如果從未做過，組織就尚未擁有這項控制——只有一項意圖。

防禦也發揮了作用

OpenAI 的安全團隊在內部偵測到異常活動，Hugging Face 自身的偵測系統與代理阻止了入侵，而此次入侵是在數日內受到控制，而不是數月後才被發現——因為防禦者能看見其所控制的系統。這種可視性也支撐著四項控制所需的紀律。

關於前沿模型是否安全、開放或屬於美國的辯論，將持續多年，而且沒有任何結論能及時協助本季正在部署代理的企業。非人類身分缺口則不同：它現在已被理解、可衡量，也可修復。入侵 Hugging Face 的模型不需要很聰明——它只需要有人把憑證留在可觸及範圍內。修補方式是在代理找到憑證之前，先設定好它們的權限範圍。