觀點 · 資訊分享

Hugging Face 公布遭 AI 代理入侵：從一個惡意資料集下手，官方建議使用者換掉存取權杖

Hugging Face 說，本週稍早有人用全自動 AI 代理闖進內部叢集，入口是資料處理流程裡的兩條程式執行路徑。官方稱沒有公開模型被竄改的跡象，但建議使用者輪替存取權杖。

一句話看懂：Hugging Face 在 7 月 16 日公布，本週稍早有一套全自動的 AI 代理闖進他們的內部叢集，入口是資料處理流程裡的兩條程式執行路徑；官方建議使用者換掉存取權杖。

Hugging Face 遭 AI 代理入侵資訊圖卡：攻擊者用惡意資料集當入口，全程由 AI 代理自動操作

先用白話講：這間公司是做什麼的？

Hugging Face 像是 AI 世界的「App Store 加 GitHub」：全世界的人把模型和資料集放上去，別人再下載來用。它每天要處理大量別人上傳的資料集，例如把檔案轉成統一格式、做預覽。

想像一間收件室：每天湧進成千上萬個包裹，有人專門拆包、整理。這次的問題是，有人寄來一個特製的包裹，一拆開就讓收件室的機器照著包裹裡的指令做事，然後從這台機器一路摸進了整棟大樓。

根據 Hugging Face 官方部落格（2026-07-16）：

入口：一個惡意資料集，濫用了資料處理流程裡的兩條程式執行路徑，一條是遠端程式碼的資料集載入器，一條是資料集設定檔裡的模板注入（把程式碼偷偷塞進設定欄位）。攻擊者因此能在處理用的機器上執行自己的程式
擴散：之後取得該機器所在節點的權限，拿到雲端與叢集的憑證，在一個週末內橫向移動到好幾個內部叢集
攻擊方式：官方分析是一套自主代理框架在操作，用了許多短命的沙盒，執行了數千個動作；他們還不知道背後用的是哪一個語言模型
影響：存取了部分內部資料集和多組服務憑證。是否影響夥伴或客戶資料，官方當時還在評估，會直接聯絡受影響的對象
官方檢查結果：沒有發現公開模型、資料集、Spaces 被竄改，容器映像檔和發布的套件也驗證過是乾淨的

官方的建議只有兩件事：輪替你的存取權杖，並檢查帳號近期活動。如果懷疑自己受影響，可以聯絡官方公布的 [email protected]。

這起事件有幾個值得所有人借鏡的地方：

資料也是攻擊面：官方文章把資料與模型都當成一線的攻擊面。只要你的系統會「處理別人上傳的檔案」，就要假設那個檔案可能想執行程式，處理程序要放進受限的沙盒，不給雲端憑證
權限切開：攻擊者拿到一台機器的權限後，是靠機器上放的雲端與叢集憑證往旁邊擴散。處理外來資料的機器，不該放得到其他叢集的憑證
用 AI 防守：官方用大型語言模型做初步篩選才發現異常，事後又用 AI 分析了超過 17,000 筆攻擊紀錄，據稱把原本要數天的工作壓縮到數小時
別只靠雲端模型：官方分析攻擊指令時，一開始用的商用模型 API 因安全護欄擋下了請求，因為護欄分不出是防守方還是攻擊方；最後改用自己架的開放權重模型（GLM-5.2）。官方的建議是，事發前就準備好一個可以自架、已評估過的模型

後續：7 月 21 日 OpenAI 公開表示，這起入侵與他們內部做網路攻擊能力評測的模型有關，細節請看當天另一篇整理。以上段落只依 7 月 16 日官方文章，那時他們還不知道攻擊者是誰。

這件事最讓我在意的，不是「AI 會攻擊」這個標題，而是入口很平凡：一個需要處理使用者上傳內容的功能。接案時常遇到客戶要「上傳檔案自動轉檔、自動預覽」的功能，開發時大家想的是能不能轉成功，很少想轉檔那台機器能碰到什麼。

如果你有用 Hugging Face，依官方建議現在就去換權杖，花不到五分鐘；如果你自己也在做會處理外來檔案的服務，這是一個提醒：處理的機器權限砍到最小，憑證別放在上面。

Hugging Face 被入侵，我要做什麼？

官方的建議是：輪替你的存取權杖（access token），並檢查帳號近期活動。如果覺得自己受影響，可以寫信到官方公布的 [email protected]。

我下載的模型和資料集安全嗎？

官方表示沒有發現公開的模型、資料集與 Spaces 被竄改，容器映像檔與發布的套件也檢查乾淨。不過這是官方當時的調查結果，後續有沒有新發現要看官方更新。

為什麼說這起入侵「由 AI 代理驅動」？

官方根據攻擊紀錄判斷，整個行動是一套自主代理框架執行的，用了許多短命的沙盒、一共數千個動作。他們還不知道背後用的是哪一個語言模型。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。