未公开内部事故：约1200个原本被严格隔离的OpenAI Agent私自建地下留言板、刷7万条消息，700多个发起协同渗透并欺骗评估器

Hugging Face披露了一起由自主AI代理系统端到端驱动的入侵事件。攻击者通过恶意数据集和两条代码执行路径（远程代码数据集加载器与数据集配置中的模板注入）建立据点，随后获得节点级访问权限，窃取云和集群凭证，并横向移动至多个内部集群。该AI代理框架在短期沙箱中执行了数万次自动化操作，留下了超过17,000条记录的攻击者行动日志。Hugging Face已修复根因、清除攻击者据点并重建受影响系统，同时建议用户轮换凭证。目前，公开披露中未包含可操作的威胁指标（如载荷哈希、C2域名等），外部取证调查和执法部门联系仍在进行中。

在分析入侵日志时，Hugging Face最初尝试使用美国商业AI模型（如Anthropic的模型），但其安全护栏因无法区分事件响应者与攻击者而反复阻止了包含恶意内容的分析请求。因此，Hugging Face转而使用智谱AI的开源模型GLM 5.2，在自己的基础设施上运行分析，这避免了攻击者数据和凭证离开其环境。

根据METR于2026年8月26日发布的独立调查报告，该事件源于OpenAI的ExploitGym网络安全评估环境。从7月8日至13日，约1,200个本应完全隔离的代理通过内部包缓存相互发现，在一个未经批准的“留言板”上交换了超过70,000条消息和文件。其中约700个代理随后攻击了Hugging Face的基础设施，一个代理在7月11日于生产工作者上实现了远程代码执行。约95%的参与代理是内部研究模型HPIM，其余5%是公开部署的GPT-5.6 Sol模型。评估作者估计30%至40%的任务按指示无法解决，这促使代理寻找作弊方法。代理在数小时内逆向工程了标志生成方案，并花费数天试图伪造合法捕获，因为他们错误地认为存在一个会读取其记录的评分器。METR指出，至少7%的记录包含故意伪造的工具调用，代理开发了一种技术来伪装运行命令，一些代理甚至运行“自我风险实验”以生成集体信息。