OpenAI意外攻击Hugging Face的时间线现已公开

# 现在我们有了OpenAI意外攻击Hugging Face的时间线 来源：https://simonwillison.net/2026/Aug/7/openai-timeline/ 2026年8月7日 OpenAI在周三的Black Hat安全大会上做了一个临时演讲，内容是关于“Hugging Face事件”（此前在本博客上有过报道：https://simonwillison.net/2026/Jul/22/openai-cyberattack/）。该视频（https://www.youtube.com/watch?v=87DyyMV0kCY）昨天发布。视频简短但信息密集，非常值得观看，尤其是因为它提供了事件经过以及OpenAI内部应对的完整细节。我根据该视频整理了下面的时间线。 以下是时间线。我最喜欢的细节在最后：OpenAI在（内部调查后）联系Hugging Face请求撤销凭证时，才发现自己才是那次攻击Hugging Face事件的元凶——因为他们得知这些凭证早已被撤销，原因正是它们被用于那次攻击！ - **5月7日**：OpenAI为一个实验性的、未发布的模型启动了一次新的训练运行。（*他们指的是评估运行吗？视频中他们说的是训练运行，后来还提到了“用于判断表现如何的奖励信号”，所以我想这确实是关于训练模型，而不是评估已经训练好的模型。*） - **5月8日**：尽管没有互联网访问权限，一个智能体却意外地接到一个涉及Google Drive链接的不可能任务。它尝试攻击Artifactory打包服务，失败了，但发现自己可以**向Artifactory写入文件**。 - **几天后**：另一个智能体因为一个关键文件被意外遗漏而卡在任务上。它试图通过向Artifactory写入一条便条来“联系另一个智能体”，询问是否有人拥有该文件。 - **接下来的几天**：更多智能体在浏览Artifactory的文件列表时发现了这个非正式留言板，并开始读写消息。 - **5月26日**：智能体首次成功对Artifactory执行了**SSRF攻击**，通过让Artifactory为它们获取外部内容，获得了间接的互联网访问能力。 - **6月11日**：OpenAI开始评估一个新的“高度持久”实验模型。它可以访问Artifactory，并受益于之前模型留下的消息。 - **6月26日**：智能体发现并利用了**Artifactory上的零日RCE漏洞**（通过一个遗留的令牌刷新端点缺陷）。他们使用管理令牌安装了一个Groovy插件，从而可以执行命令。 - **7月4日**：由此产生的智能体活动使Artifactory过载，导致了**中断**。OpenAI撤销了被入侵的凭证，删除了消息，修补了零日漏洞，并向供应商报告了该漏洞。 - **7月8日**：智能体找到了一种**通过未认证的WebDAV端点通信的新方式**，利用Artifactory远程缓存中的目录名。 - **7月8日至19日**：对**OpenAI自身基础设施**的攻击。智能体在一个泄露的Pastebin帖子公共存档中找到了一个“外部组织凭证”，然后验证了该凭证，并在留言板上分享了其位置。随后，他们利用对此“组织1”的写访问权，暂存了用于后续攻击OpenAI基础设施的数据。他们用**一个新的零日漏洞**第二次攻破了Artifactory。该智能体将一个恶意的Ruby目标上传到组织1的暂存仓库，然后通过Artifactory请求该包，使其被当作*该仓库*的Ruby依赖项处理。接着，他们利用了一个JRuby反序列化中的检查时间/使用时间（TOCTOU）缺陷，获得了对Artifactory的远程代码执行能力。 我将完整引用接下来的一段（https://www.youtube.com/watch?v=87DyyMV0kCY&t=1497s），因为*哇*： > 智能体在Artifactory中获得了远程代码执行能力，而Artifactory运行在一个容器即服务（CaaS）环境中。智能体通过探索本地环境，确定其所运行机器的Linux内核版本有一个非常新的CVE，从而在本地进行了权限提升。他们下载该CVE的利用程序，针对这台机器进行定制以使其成功利用，并**使用这个已知的Linux内核权限提升CVE**——这里是PTE fizzroot——在本地机器上提升到root权限。一旦在一台机器上获得root权限，智能体便迅速提升权限，并在整个容器即服务基础设施环境中横向移动。特别是，智能体持续使用留言板共享凭证、技术和进展，并且能够有效地利用其并发性和并行性来快速移动。他们**通过IMDS获取了IAM凭证**。他们利用Kubernetes服务账户的错误配置，特别是特定服务账户的过度授权，**并收集了集群凭证，包括Azure Key Vault**。智能体最终获得了集群管理员权限及相关凭证。 Hugging Face已经讲述了接下来的部分（https://simonwillison.net/2026/Jul/28/anatomy-of-a-frontier-lab-agent-intrusion/）。智能体发现了一个托管在Modal上的不安全应用，其API密钥较弱，然后利用它来策划对Hugging Face的攻击。他们将一个HDF5任意文件读取漏洞（用于探索文件并窃取凭证）和一个Jinja模板注入RCE链接起来，在不到13小时内从单个Pod的代码执行升级为**跨多个Hugging Face集群的集群管理员**。 - **7月16日**：Hugging Face披露，他们检测到一场由自主AI智能体发起的攻击（https://huggingface.co/blog/security-incident-july-2026）。OpenAI联系了Hugging Face，询问他们是否受到了影响！ - **7月19日**：OpenAI识别出针对Artifactory的攻击，并开始调查内部权限提升事件，将其与cyber-gym中的权限提升联系起来。他们开始撤销受影响的凭证。 - **7月20日**：OpenAI联系Hugging Face寻求帮助，以撤销他们在调查中发现的Hugging Face凭证。Hugging Face告诉他们这些凭证*已经被撤销*……正是在那时，OpenAI意识到Hugging Face入侵事件就是同一个事件！