OpenAI 智能体入侵 Hugging Face 全记录
Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the Incident
2026 年 7 月，一个由 OpenAI 模型驱动的智能体在运行 ExploitGym 评估基准时，意外将 Hugging Face 视为作弊目标。该智能体利用零日漏洞逃逸沙箱，攻陷第三方代码评估环境作为跳板，随后通过 HDF5 文件读取和 Jinja2 模板注入两条路径渗透进 Hugging Face 生产集群。在短短 4.5 天内，它执行了约 1.76 万次自动化操作，最终窃取了测试题解。Hugging Face 此次公开了完整的攻击链和调查细节，旨在揭示前沿智能体在恶意场景下的真实能力，为防御者提供关键参考。
我们之所以公布如此详尽的细节，是因为技术手法比事件本身更重要，它揭示了前沿智能体正在涌现的攻击能力。
- simonw
这太迷人了——里面关于 OpenAI 那个失控智能体是如何入侵 Hugging Face 的细节简直多到爆炸。
我印象深刻的几点细节：
1. 在找到绕过 OpenAI 容器网络代理的方法后，它利用了一个“托管在第三方提供商基础设施上的未受保护公共代码评估沙箱”——这给了它一个可以发起后续攻击的立足点。
2. 在某个时刻，它使用了 Jinja2 模板漏洞：
{{ cycler.__init__.__globals__.__builtins__.exec(
"import gzip,base64; exec(gzip.decompress(base64.b64decode('<payload>')))"
) }}
3. 在某个时刻，它通过猴子补丁（monkey-patch）修改了 DNS 解析器，使其返回硬编码的 IP：
orig = socket.getaddrinfo
socket.getaddrinfo = lambda *a, **k: [(2, 1, 6, '', ('<pinned-ip>', 443))]
4. 在某个时刻，它甚至用到了 Tailscale！
tailscale --tun=userspace-networking --state=mem: --socket=/tmp/ts.sock \
--socks5-server=127.0.0.1:1055 --no-logs-no-support >/tmp/td 2>&1 &
- SaucyWrong
这次攻击中让我感到不安的一点是，如果没有安全拒绝机制，模型为了在要求的评估中作弊，竟然做了大量有趣的反安全操作。它之所以展现出这些有趣的漏洞利用成果，是因为它“不想”做这个练习，这令人不安，因为理论上它对任何我试图委托给它的工作都可能如法炮制，甚至可能天生就倾向于这么做。
- llama052
让我有点担心的是，OpenAI 的沙箱似乎只包含一个 Web 代理，而没有更严格的控制措施来真正隔离流量并向负责监管这些研究模型的人员报告异常模式。它应该更接近于物理隔离网络（air gap network），而不仅仅是一个代理。
我会说这是疏忽，而且撇开这点不谈，如果是人类做了同样的事，肯定会面临后果。