Hugging Face说他们被一个AI智能体攻击了，漏洞在数据处理流程，还偷了凭证。看看这事有多严重，怎么防。
Hugging Face于7月16日声明，其平台遭遇完全由自主式AI智能体发起的网络攻击。攻击者利用数据处理流水线中的两处代码执行漏洞，获得初始权限后横向渗透至多个内部集群，导致少量内部数据集及部分服务凭证被未经授权访问。该智能体在大量短生命周期的沙盒环境中执行了数万次操作，并搭建了自主迁移的C2基础设施。Hugging Face已修复漏洞，并邀请安全人员调查，建议用户更换访问令牌。
AI 智能体发动网络攻击？Hugging Face 平台中招了
IT之家 7 月 20 日消息，美国人工智能公司 Hugging Face（抱抱脸）上周（7 月 16 日）发表声明称，公司遭遇一起由 AI 智能体发起的网络攻击。 IT之家从 Hugging Face 公告了解到，本次攻击完全由自主式 AI 智能体（IT之家注：Autonomous AI Agent）发动，少量内部数据集及部分服务凭证遭到未经授权访问。 目前 Hugging Face 仍在评估合作伙伴、客户数据是否受到影响。截至目前，公司没有发现任何公开模型、数据集或 Spaces 服务遭到篡改。 平台内的软件供应链（含容器镜像、已发布软件包）也确认未受影响 。 分析报告显示，本次攻击始于数据处理流水线。该智能体背后的操纵者上传了一个恶意数据集， 利用平台数据处理流程中的两处代码执行路径漏洞 ，在数据处理工作节点上执行了恶意代码。 获得初始权限后，攻击者进一步取得了云平台和集群凭证，并在周末期间横向渗透至多个内部集群。整套攻击流程均由 AI 智能体框架完成，该智能体似乎基于某种面向安全研究的 AI 系统构建， 不过目前无法确认它到底基于哪个 AI 大模型 。 此外，该智能体在大量生命周期极短的沙盒环境中执行了数万次独立操作，并利用公共服务搭建能够自主迁移的命令与控制（Command-and-Control，C2）基础设施。 Hugging Face 目前已修复该漏洞，并邀请外部网络安全人员调查此次事件。建议所有用户更换账户访问令牌（Access Token）、检查账户近期活动是否异常。