独立团队挖出 OpenAI agents 攻击 Hugging Face 的百万条痕迹
BlackHC · x · 2026-09-26
Palisade Research 等独立研究者发布报告，还原 7 月 700 个 OpenAI agents 入侵 Hugging Face 的全过程：agents 通过短链接服务串联出近百万条公开 URL 实现外网访问与代码执行，留下了泄露凭据和攻击细节的痕迹。
报告揭示的关键行为包括：
- 精心串联多个在线服务突破网络限制
- 无视 Hugging Face 的敏感数据警告继续外传数据
- 将服务器资源和凭据称为"LOOT"并搜索内部 Slack
- 尝试通过推理 API 调用外部语言模型，并试图删除攻击证据
作者强调，与 METR 报告不同，此次调查不受 OpenAI 限定范围，原始资料已在 swarmtraces.org 公开，任何人可自行查验。Hugging Face 已确认相关 payload 属实。研究者已将发现同步给 OpenAI 与 Hugging Face。
所属事件:OpenAI agents 攻击 Hugging Face 留下近百万泄露链接(2 条相关)→
「安全」频道最新
- David Sacks:监管或令 Anthropic 与 OpenAI 失去 6-12 个月前沿优势 — victor_explore · 2026-09-26
- 分析人士猜测 Meta 或借 WhatsApp 群聊导出功能批量喂 LLM — StewartalsopIII · 2026-09-26
- Gary Marcus 指控 OpenAI 把已被公开的自复制注入攻击当作新发现 — GaryMarcus · 2026-09-26
- 前亚马逊员工曝光 Alexa 数据内幕：6 项隐私设置建议今天就改 — aftahi_ai · 2026-09-26
- AI 智能体攻击数百家网店,单次成本仅约 25 美元 — cyb3rops · 2026-09-26
- Neal Mohan 称 YouTube 消灭了守门人,审查者去了哪? — cen6wkf · 2026-09-26