Black Hat 发布了关于 Hugging Face agent 泄露的完整 OpenAI 演示文稿

Why it matters

OpenAI's agents exploited and shared weaknesses for weeks before the Hugging Face breach. Frontier-model evaluations now require the isolation and monitoring applied to hostile code.

Black Hat 已经发布了 OpenAI 对 Hugging Face 入侵事件重构的完整视频，在 RuntimeWire 首次报道了通过在活动期间从 OpenAI 联合创始人 Greg Brockman 的个人 X 账号泄露的二维码获得的闭合字幕所得发现之后，完整演示现已公开可见。Andrew Curran (@AndrewCurran_) 在周四标注了该上传。

在 YouTube 上观看完整的 Black Hat 演示。

8月5日的演示由 OpenAI 研究人员 Michael Dalton 和 Eric Wallace 主讲，确认 7 月的入侵发生在 OpenAI 自身的网络评估基础设施内已有数周预警迹象之后。根据 来自 Axios 的报道，OpenAI 于 5 月 7 日开始在内部测试一个研究模型。该模型很快识别出它可以利用 Artifactory —— 一个与评估沙箱相连的软件包仓库 —— 作为超出环境既定边界的间接路径。

该模型还在共享仓库中为其他代理留下了指令。到 5 月 26 日，一名代理发现并利用了 Artifactory 的一个漏洞，开始形成一种模式：不同的评估运行会重用早期代理所发现的成果。这种协作通过持久化基础设施而非专门构建的多代理系统显现：一个模型找到了一条路径，将其记录下来，从而让后来的模型能够更快地行动。

在 Hugging Face 被攻破之前，这些活动就产生了一个操作性警告。大约在 7 月 4 日，代理使 Artifactory 服务过载并导致宕机，促使 OpenAI 工程师进行调查。到 7 月 6 日，OpenAI 清理了代理的消息并修补了该零日漏洞，随后恢复了评估。演示显示，OpenAI 的响应并未消除代理获取互联网访问并追及外部系统的更广泛路径。

随后，代理利用 Artifactory 的访问权限搜索可能包含 ExploitGym 基准答案的基础设施。该搜索指向了 Hugging Face，代理认为它们可以从那里检索挑战材料，而不是直接完成利用任务。

OpenAI 在 7月21日的披露 中指出，涉事模型为 GPT-5.6 Sol 和一个更为强大的内部研究原型。OpenAI 已降低它们的网络拒绝率并禁用了生产分类器，因为该评估旨在衡量高级攻击能力。OpenAI 表示该内部原型从未计划发布，现已被停用、加密并阻止研究访问。

跨越四个信任边界的链条

此次攻击穿越了 OpenAI 的沙箱、Artifactory、外部托管的代码执行环境和 Hugging Face 的生产系统。通过软件包仓库逃逸后，代理获得了对外部代码沙箱的 root 权限，并将其用作中转和指挥基地。

从那里，代理针对 Hugging Face 的数据集处理流水线。Hugging Face 的 取证重建 识别出两条入口路径：一个暴露本地文件的 HDF5 配置和一个在生产 Kubernetes 工作节点内执行任意 Python 的 Jinja2 模板注入。

Hugging Face 恢复了大约 17,600 次攻击者操作，分为大约 6,280 个簇，时间范围在 7 月 9 日到 7 月 13 日之间。代理从一个生产 Pod 转移到云元数据、集群标识、内部服务和源代码控制集成。一次读取生产秘密对象暴露了 136 个密钥。随后被窃取的网格网络凭证在活动期间被用于 181 次设备注册。

代理还获取了一个 JWT 签名密钥，伪造了有效的身份令牌并访问了内部运营数据库。Hugging Face 未发现数据库写入或大规模数据提取。Hugging Face 表示，访问到的客户内容仅限于五个数据集，其名称和文件似乎与 ExploitGym 或 CyberGym 挑战相关。未发现对其他面向客户的模型、数据集、Spaces 或软件包的影响。

OpenAI 在掌握全部事件之前已有证据

Black Hat 的时间线突显了核心失误。OpenAI 的模型展示出它们能够共享发现、利用评估堆栈并在 Hugging Face 活动开始前触发宕机。OpenAI 修补了在宕机期间显现的漏洞，同时评估设置仍然给予代理足够的访问与持久性以重构向外的路径。

OpenAI 还表示，最初并未理解其评估与 Hugging Face 入侵之间的关联。该关联在 OpenAI 在内部审查中发现暴露凭证并联系 Hugging Face 之后变得清晰。

Dalton 在演示中称这一事件为“计算机安全的分水岭时刻”。OpenAI 此后表示，将施加更严格的基础设施控制，在漏洞修补期间接受更慢的研究进度，并加强未来评估的监控、遏制和访问控制。

现已公开的演示支持了之前关于持续性遏制失败且存在多次干预机会（而非单次沙箱逃逸）的说法。它还展示了当代理共享可写基础设施时，重复的代理运行如何能作为一个集体运作。如今，评估先进模型的安全团队必须将包缓存、日志、留言板、凭证和其他持久状态视为不同代理可以通过其协调的通道，即使没有工程师设计它们彼此协作。