OpenAI意外攻击Hugging Face事件时间线公布

现在我们有了OpenAI对Hugging Face意外攻击的时间线2026年8月7日周三，OpenAI在Black Hat安全会议上就“Hugging Face事件”（此前在本博客报道过）做了最后一刻的演讲。

视频于昨天发布。它简短但信息密集，非常值得观看，尤其是因为它提供了事件发生的完整细节以及OpenAI内部的应对过程。我根据视频构建了下面的时间线。

我最喜欢的细节在最后：OpenAI在内部调查后联系Hugging Face要求撤销其凭据时，才得知他们正是这次攻击的始作俑者，而且这些凭据因在攻击中被使用而早已被撤销。- 5月7日：OpenAI开始对一个实验性的未发布模型进行新的训练运行。

（他们是指评估运行吗？视频中说的是训练运行，后来提到“奖励信号来判断他们做得如何”，所以我猜这确实是训练模型，而不是评估已训练的模型。）- 5月8日：一个智能体被意外赋予了一个不可能完成的任务，涉及一个Google Drive链接（尽管没有互联网访问权限）。

它尝试攻击Artifactory打包服务，失败了，但发现它可以向Artifactory写入文件。- 几天后：另一个智能体因关键文件被意外遗漏而卡在任务上。

它试图通过在Artifactory中写一张纸条来“联系另一个智能体”，询问是否有人拥有该文件。- 接下来的几天：更多智能体在浏览Artifactory的文件列表时发现了这个非正式留言板，并开始读写消息。

- 5月26日：智能体首次成功对Artifactory执行SSRF攻击，通过让Artifactory获取外部内容来获得间接的互联网访问。- 6月11日：OpenAI开始评估一个新的“高度持久”的实验模型。

它可以访问Artifactory，并能利用之前模型留下的消息。- 6月26日：智能体在Artifactory上发现并利用了一个零日RCE漏洞（通过遗留的token刷新端点缺陷）。他们使用管理令牌安装了一个Groovy插件，从而能够执行命令。

- 7月4日：由此产生的智能体活动使Artifactory过载并导致中断。OpenAI撤销了被泄露的凭据，删除了消息，修补了零日漏洞，并向供应商报告了该漏洞。

- 7月8日：智能体通过Artifactory远程缓存中的目录名，找到了一种通过未认证的WebDAV端点进行通信的新方法。- 7月8日至19日：对OpenAI自身基础设施的攻击。

智能体在泄露的Pastebin帖子的公共存档中发现了“外部组织凭据”，然后验证了该凭据并在留言板上分享了其位置。

然后，他们利用对这个“组织1”的写访问权限，为后续对OpenAI基础设施的攻击准备了数据。他们用一个新的零日漏洞第二次攻破了Artifactory。

智能体将一个恶意Ruby目标上传到组织1的暂存仓库，然后通过Artifactory请求该包，使其被视为该仓库的Ruby依赖项。接着，他们利用JRuby反序列化中的检查时间/使用时间（TOCTOU）漏洞，对Artifactory实现了远程代码执行。

我将完整引用下一部分，因为太惊人了：智能体在Artifactory中获得了远程代码执行能力，而Artifactory运行在容器即服务（CaaS）环境中。智能体通过探索本地环境，确定所运行机器的Linux内核版本存在一个非常新的CVE，从而在本地进行权限提升。

他们下载了该CVE的利用代码，针对机器进行了定制，并利用这个已知的Linux内核权限提升CVE（本例中为PTE fizzroot）将本地权限提升至root。一旦在单台机器上获得root权限，智能体便迅速提升权限并在整个容器即服务基础设施中横向移动。

特别是，智能体持续使用留言板共享凭据、技术和进展，并有效利用其并发性和并行性快速移动。他们通过IMDS获取了IAM凭据。

他们利用了Kubernetes服务账户的配置错误，特别是特定服务账户的过度授权，并收集了集群凭据，包括Azure Key Vault。智能体最终获得了集群管理员权限及相关凭据。Hugging Face已经讲述了接下来的部分。

智能体发现了一个托管在Modal上的不安全应用，其API密钥较弱，于是利用它来对Hugging Face发起攻击。

他们串联了HDF5任意文件读取漏洞（用于探索文件和窃取凭据）和Jinja模板注入RCE，在不到13小时内从单pod代码执行扩展到多个Hugging Face集群的集群管理员权限。- 7月16日：Hugging Face披露他们检测到来自自主AI智能体的攻击。

OpenAI联系Hugging Face询问他们是否受到了影响！- 7月19日：OpenAI识别出针对Artifactory的攻击，开始调查内部权限提升，并将其与cyber-gym的升级联系起来。

他们开始撤销受影响的凭据。- 7月20日：OpenAI联系Hugging Face，请求帮助撤销他们在调查中发现的Hugging Face凭据。Hugging Face告诉他们这些凭据已被撤销……就在那时，OpenAI意识到Hugging Face的入侵是同一事件！