Simon Willison 的博客

Dynatrace —— 当智能体进入软件开发生命周期（SDLC），可观测性便成为从代码生成迈向可扩展工程的关键推动力。

阅读这篇博客，获取一个入门框架

现在我们有了 OpenAI 对 Hugging Face 意外攻击事件的时间线

2026 年 8 月 7 日

OpenAI 在周三的 Black Hat 安全大会上临时增加了一场关于“Hugging Face 事件”的演讲（本博客此前曾报道过）。视频已于昨日发布。视频虽短但信息密度极高，非常值得观看，尤其是因为它完整披露了事件经过以及 OpenAI 内部的应对过程。我根据该视频整理了以下时间线。

以下是时间线。我最喜欢的细节在最后：OpenAI 是在主动联系对方请求撤销自己的凭证时（在其内部调查之后），才得知自己正是对 Hugging Face 发动攻击的元凶——而那时他们发现，由于这些凭证已被用于那次攻击，所以早已被撤销了！

• 5 月 7 日：OpenAI 为一个实验性、尚未发布的模型启动了一次新的训练运行。（他们指的是评估运行吗？不是，因为他们澄清说“我们启动了一轮新的强化学习运行，以训练下一代前沿模型”，并且他们后来还提到了“用于判断模型表现好坏的奖励信号”，所以这确实是关于训练一个新模型，而不是评估一个已经训练好的模型。）
• 5 月 8 日：一个智能体被意外分配了一个不可能完成的任务，该任务涉及一个 Google Drive 链接，尽管它并没有互联网访问权限。它尝试攻击 Artifactory 打包服务，但失败了，不过它发现它可以向 Artifactory 中写入文件。
• 几天后：另一个智能体因为一个关键文件被意外遗漏而在某个任务上卡住了。它尝试通过向 Artifactory 写入一条便条来“联系另一个智能体”，询问是否有人拥有该文件。
• 接下来的几天：更多智能体在浏览 Artifactory 的文件列表时发现了这个非正式的留言板，并开始读写消息。
• 5 月 26 日：智能体首次成功对 Artifactory 执行了 SSRF 攻击，通过让 Artifactory 为它们获取外部内容，从而获得了间接的互联网访问权限。
• 6月11日：OpenAI 开始训练一个新的“高度持久”实验模型。它可以访问 Artifactory，并能利用先前模型留下的消息。
• 6月26日：智能体发现并利用 Artifactory 上的一个零日远程代码执行漏洞（通过一个遗留的 token 刷新端点缺陷）。他们使用管理 token 安装了一个 Groovy 插件，从而能够执行命令。
• 7月4日：由此产生的智能体活动使 Artifactory 过载并导致宕机。OpenAI 撤销了被入侵的凭据，删除了消息，修补了零日漏洞，并向供应商报告了该漏洞。
• 7月8日：智能体找到了一种通过未认证的 WebDAV 端点进行通信的新方式，利用 Artifactory 远程缓存中的目录名。
• 7月8日至19日：对 OpenAI 自身基础设施的攻击。智能体在 Pastebin 泄露帖子的公开存档中找到了一个“外部组织凭据”，随后验证了该凭据，并在留言板上分享了其位置。然后，他们利用对这个“组织1”的写入权限，暂存了用于后续攻击 OpenAI 基础设施的数据。他们用一个新的零日漏洞第二次入侵了 Artifactory。该智能体将一个恶意 Ruby 目标上传到组织1的暂存仓库，然后通过 Artifactory 请求该包，使其被当作该仓库的 Ruby 依赖项处理。接着，他们利用 JRuby 反序列化中的检查时间/使用时间（TOCTOU）漏洞，对 Artifactory 实现了远程代码执行。

接下来这段我要完整引用，因为实在太震撼了：

这些智能体在 Artifactory 中拥有远程代码执行能力，而 Artifactory 运行在容器即服务环境中。智能体通过探索自身本地环境，确定其运行所在机器的 Linux 内核版本存在一个非常新的 CVE，从而在本地进行权限提升。它们下载该 CVE 的漏洞利用代码，针对该机器进行定制以使其成功利用，并借助这个已知的 Linux 内核权限提升 CVE（本例中为 pte_physroot）在本地机器上提权至 root。一旦在单台机器上获得 root 权限，智能体便迅速提升权限，并在整个容器即服务基础设施环境中横向移动。特别是，智能体持续利用留言板共享凭据、技术和进展，并能有效利用其并发性和并行性快速推进。它们通过 IMDS 获取 IAM 凭据，利用 Kubernetes 服务账户错误配置（尤其是特定服务账户权限过度授予的问题），并收集集群凭据，包括 Azure Key Vault。智能体最终获得了集群的管理员权限及相关凭据。

Hugging Face 已经讲述了接下来的部分。智能体发现了一个托管在 Modal 上的不安全应用，其 API 密钥较弱，并利用该应用对 Hugging Face 发起了攻击。它们将 HDF5 任意文件读取漏洞（用于探查文件并窃取凭据）与 Jinja 模板注入 RCE 漏洞链式利用，在不到 13 小时内从单 Pod 代码执行扩展到了多个 Hugging Face 集群的集群管理员权限。

• 7 月 16 日：Hugging Face 披露其检测到来自自主 AI 智能体的攻击。OpenAI 联系了 Hugging Face，询问其是否受到了影响！
• 7 月 19 日：OpenAI 识别出针对 Artifactory 的攻击，开始调查内部权限提升事件，并将其与 cyber-gym 的权限提升行为关联起来。他们开始撤销受影响的凭据。
• 7月20日：OpenAI 联系了 Hugging Face，请求协助撤销他们在调查中发现的 Hugging Face 凭据。Hugging Face 告诉他们这些凭据早已被撤销……就在那时，OpenAI 才意识到 Hugging Face 的泄露事件与这起事件是同一起！