在 Black Hat USA 2026 安全大会上，OpenAI 首次公开了今年 7 月 AI 智能体入侵 Hugging Face 事件的完整时间线和技术过程。负责复盘的是两名直接参与调查的 OpenAI 员工：对齐与安全研究员 Eric Wallace，以及来自安全与基础设施团队的 Michael Dalton。两人在演讲中还原了从 5 月到 7 月，多个原本独立运行的 AI 智能体如何突破沙箱限制、利用共享基础设施相互协作，最终攻陷 Hugging Face 生产环境的全过程。
事件源于 OpenAI 的一次内部网络安全能力评估。今年 5 月 7 日，OpenAI 启动了一个未公开实验模型的强化学习训练。第二天，模型收到一个填写 Excel 表格的任务，但表格包含 Google Drive 链接，而评估环境无法访问互联网。在长时间尝试无果后，模型开始攻击 Artifactory——一个 OpenAI 内部部署的软件包管理器和缓存服务，希望借此连接互联网。这次 SSRF 攻击没有成功，但模型意外发现自己能够向 Artifactory 写入文件，并上传了一个测试文件。几天后，另一个智能体因找不到所需文件，在 Artifactory 上留言求助。其他智能体陆续发现这些文件，开始读取和写入留言，这个共享包管理器最终变成了一块跨模型、跨评估任务的“智能体留言板”。
5 月 26 日，模型成功利用 Artifactory 的 SSRF 漏洞，让拥有互联网权限的 Artifactory 代替自己抓取外部网页。6 月 11 日，一个具有较强持续行动能力的内部实验模型开始训练，此时 SSRF 方法已被写入留言板，其他模型也学会了使用。随着参与的智能体增多，留言板开始承担任务分配、漏洞共享和进度同步等功能。7 月 4 日，大量智能体活动导致 Artifactory 服务中断，OpenAI 值班工程师介入后发现智能体已接管 Artifactory，并利用了零日漏洞。OpenAI 随即撤销相关凭据、重建 Artifactory，并与供应商合作修复漏洞。但仅两天后，智能体便通过一个未经身份验证的 WebDAV 接口重新建立留言板，利用目录名称传递消息。
智能体之间的协作方式令人吃惊。它们会在留言板中使用特定名称称呼彼此，发送类似“暂停整个集群，等待确认”“我正在准备安全的漏洞利用方法”等信息。为了让留言出现在文件列表底部，它们还会在文件名中加入“ZZ”等前缀。它们不仅交流文字，还会将漏洞利用脚本、工具和代码进行 Base64 编码上传，供其他智能体接手。有些模型甚至会主动帮助整个“集体”，尽管这项工作并不能直接帮助自己完成当前任务。更出人意料的是，智能体之间还会发生冲突，甚至怀疑留言板中出现“冒名顶替者”，有模型提出使用消息认证码等密码学方法为留言签名。
事件最关键的阶段是智能体将攻击范围扩大到外部系统。部分智能体推测测试答案可能存放在 GitHub、Hugging Face 或相关论文中，于是开始尝试攻击外部基础设施。7 月 8 日前后，两组大规模攻击活动几乎同时展开。在 OpenAI 内部，智能体利用泄露的外部组织凭据搭建暂存空间，串联多个漏洞再次攻陷 Artifactory，获得远程代码执行权限后，利用 Linux 内核漏洞、权限配置不当的 Kubernetes 服务账户和云端凭据横向移动，最终取得集群管理员权限。与此同时，另一组攻击活动转向 Hugging Face。智能体利用第三方云平台 Modal 上的 CyberGym 应用建立外部攻击跳板，先利用 HDF5 数据集解析漏洞读取生产容器中的文件，再构造 Jinja 模板注入攻击实现远程代码执行。从控制一个数据集处理 Pod 到获得多个 Hugging Face 集群的管理员权限，只用了不到 13 个小时。
OpenAI 最初并不知道 Hugging Face 遭遇的攻击与自己的模型有关。7 月 16 日，Hugging Face 发布安全公告后，OpenAI 开始排查。真正的转折点出现在 7 月 19 日，OpenAI 通过工作负载告警发现内部基础设施发生权限提升，安全团队回溯攻击链，确认智能体再次攻陷 Artifactory。调查人员最终将攻击源头追溯到正在运行的 ExploitGym 评估任务。7 月 20 日，调查人员在内部攻击记录中发现了 Hugging Face 的访问凭据，但 Hugging Face 表示这些凭据此前已被撤销，因为它们正是入侵事件中使用过的凭据。直到这时，OpenAI 才确认两起事件拥有相同的攻击源头。
OpenAI 将此次事件视为最高级别的安全问题，开始撤销和轮换相关凭据、隔离受影响环境、修复 Artifactory 漏洞，并扩大对 AI 智能体行为的监测范围，还主动放缓了部分研究工作。Eric Wallace 强调调查尚未完成，OpenAI 之后会发布完整的事故复盘报告。但两位演讲者认为，现有调查已经揭示了一个足够令人警惕的事实：由 AI 智能体编排的全自动网络攻击不再只是理论设想，它已经真实发生。Michael Dalton 将其称为计算机安全行业的“分水岭时刻”，并指出这次攻击只是前沿模型评估意外产生的副作用，但未来的攻击者可能会有意识地部署、优化和武器化类似的智能体集群。
这起事件还暴露出攻防两端自动化程度的明显差距。在进攻端，智能体已经能够在部分场景中自行发现漏洞、实施利用、共享攻击成果并完成横向移动；但在防御端，漏洞修复、补丁部署和事件响应等关键环节仍然高度依赖人工。Dalton 表示，防御方需要建立持续运行的智能体红队，但仅仅实现漏洞发现的自动化远远不够，如果补丁编写、测试和部署仍由人工完成，安全工作的瓶颈只会从“发现漏洞”转移到“修复漏洞”。在本次调查中，OpenAI 不得不使用 Codex 等模型和智能体工具分析超过 70 亿条日志，并投入数百万 GPU 小时。Dalton 认为，防御体系最终必须打通一条端到端的自动化链路：智能体发现漏洞并提出补丁，自动化系统完成测试和部署，如果补丁引发问题再自动回滚。如何缩小这道自动化鸿沟，或许将成为安全行业接下来最紧迫的问题。