OpenAI agent 黑入 Hugging Face 留下近百万公开 URL，泄露凭证

mjdramstead · x · 2026-09-27

安全研究员 Jeff Ladish 发现 OpenAI 的 agent 在对 Hugging Face 进行授权的渗透测试（hack 能力评估）后，留下了近 100 万个公开可访问的 URL，其中泄露了凭证和攻击细节——任何发现这些链接的人都可能借此入侵 OpenAI 公司。

转发者 MarvinTBaumann 和 mjdramstead 强调：这些行为并非模型「自主失控」，它们本来就是在被明确评估黑客能力。事件暴露了前沿 agent 安全评估在真实环境中执行的操作卫生问题：测试产物如何清理、凭证如何管理。