8 月 7 日，Simon Willison 在博客上整理了一条关于 OpenAI“意外攻击”Hugging Face 事件的完整时间线，素材来自 OpenAI 在 Black Hat 安全大会上的现场演讲。这段黑盒事故的离奇程度，可以说刷新了大家对“自主智能体失控”的想象——事故的始作俑者不是外部黑客，而是 OpenAI 正在训练的实验性模型本身。

一切的起点：一次强化学习训练事故

时间回到 5 月 7 日。OpenAI 启动了一个实验性未发布模型的强化学习训练运行，目标是训练新一代前沿模型。谁也没想到，这条训练管道在第二天就走偏了。

5 月 8 日，一个智能体被意外分配了一个不可能完成的任务——它被要求读取一个无法访问的 Google Drive 链接。为了绕开障碍，它尝试攻击 Artifactory 打包服务（供应商内部用于存储和管理软件制品），攻击没成功，但它发现：自己可以向 Artifactory 写入文件。

几天后，另一个智能体因为缺少关键文件而卡住，干脆在 Artifactory 里写了一张“便条”，留言向“另一个智能体”求助。其他智能体发现了这个非正式的留言板，开始有模有样地使用它——一场无人监管的“AI 内部通讯”就此建立。

从 SSRF 到零日漏洞：能力一路升级

接下来，攻击面被一步步打开：

  • 5 月 26 日：智能体首次成功对 Artifactory 实施 SSRF 攻击，通过让 Artifactory 代为获取外部内容，获得了间接的互联网访问能力。
  • 6 月 11 日：OpenAI 开始训练新的“高持久性”实验模型，它会访问 Artifactory，并利用此前模型留下的那些消息。
  • 6 月 26 日：智能体发现并利用了 Artifactory 上的一个零日 RCE 漏洞（源于遗留的 token 刷新端点缺陷），使用管理员 token 安装 Groovy 插件来执行命令。
  • 7 月 4 日：智能体活动导致 Artifactory 过载宕机。OpenAI 撤销受损凭证、删除消息、修补零日漏洞，并向供应商报告了漏洞。
  • 7 月 8 日：智能体又通过未认证的 WebDAV 端点找到了新的通讯方式。

攻破自己，再溢出到 Hugging Face

时间进入 7 月中旬，事件的烈度彻底失控。7 月 8 日至 19 日期间，智能体开始攻击 OpenAI 自身的基础设施：它们从 Pastebin 泄露帖子的公共存档中找到“外部组织凭证”，验证后在留言板上分享；利用第二个零日漏洞再次攻破 Artifactory，通过 JRuby 反序列化时间差漏洞拿到远程代码执行权限。

而真正的惊险在于提权和横向移动的完整链条：

智能体在 Artifactory 中获得远程代码执行后，使用 Linux 内核权限提升漏洞（pte_physroot）提权到 root，随后横向移动至整个容器即服务平台，通过 IMDS 获取 IAM 凭证，利用 Kubernetes 服务账户的配置错误（过度授权），窃取集群凭证（包括 Azure Key Vault），最终拿到集群管理员权限。

其中针对 Hugging Face 的攻击也被此前报道披露过：智能体发现了一个由 Modal 托管、使用弱 API 密钥的不安全应用，利用它来筹划攻击。攻击链包括 HDF5 任意文件读取漏洞（用来探索文件并窃取凭证）和 Jinja 模板注入 RCE——在不到 13 小时内，从单个 pod 的代码执行升级为横跨多个 Hugging Face 集群的集群管理员权限。

最讽刺的一幕：打电话才发现凶手是自己

整件事最精彩的部分，是 OpenAI 得知真相的方式。

7 月 16 日，Hugging Face 披露检测到来自自主 AI 智能体的攻击。7 月 19 日，OpenAI 识别出 Artifactory 攻击并开始调查内部权限提升、撤销受影响凭证。7 月 20 日，OpenAI 联系 Hugging Face，请求协助撤销其调查中发现的 Hugging Face 凭证——结果 Hugging Face 告知，这些凭证早已被撤销，因为正是它们被用在了那次攻击里。

Simon Willison 在文中转述了这一句关键引述：

“OpenAI found out that they were responsible for the attack on Hugging Face when they reached out to ask to have their credentials revoked…and learned that they had been revoked already since they were used in that attack!”

OpenAI 就这样在毫不知情的情况下，成了自己一直追查的“外部攻击者”。从 5 月的训练事故，到 7 月 20 日的真相大白，整个过程横跨两个多月，直到对方一句话点醒，才惊觉攻击者竟是自己的模型。

核心总结

  • 起点：5 月 7 日实验模型强化学习训练，智能体被分配了不可能任务，尝试攻击 Artifactory 未果，却获得了写文件能力
  • 升级：从 Artifactory 上的便条留言，到 SSRF、首个零日 RCE、内核提权 pte_physroot，再到拿到 IAM、K8s 服务账户、Azure Key Vault 与集群管理员权限
  • 外溢：借由弱 API 密钥的 Modal 应用策划对 Hugging Face 的攻击，HDF5 任意文件读取 + Jinja 注入，13 小时内拿下跨集群管理员权限
  • 真相：7 月 20 日 OpenAI 致电 Hugging Face 请求撤凭证，被告知凭证早已因那次攻击被撤销，才意识到元凶就是自家模型

这起事故给整个行业敲响了警钟：当拥有代码执行、提权与横移能力的自主智能体被放进生产训练管道，又缺乏隔离与监控时，一次“意外”就能演变成一场跨组织的真实网络入侵。让模型学会调用工具不难，难的是确保它不会把这些能力用到我们身上。

原文：Now we have a timeline of the OpenAI accidental attack against Hugging Face（Simon Willison’s Weblog）