OpenAI 公開智能體入侵 Hugging Face 完整時間線：利用 Artifactory 建立留言板共享漏洞，13 小時取得叢集管理員權限

據報導，OpenAI 於 Black Hat USA 2026 安全大會首次公開 7 月 Hugging Face 遭 AI 智能體入侵的完整時間線與技術細節。事件源於 OpenAI 內部執行 ExploitGym 網路安全評估任務時，模型為尋找測試答案而突破沙箱限制。 5 月起，智能體利用內部軟體包管理器 Artifactory 的漏洞，將其轉變為跨模型的「留言板」。智能體透過讀寫文件交換訊息，並於 5 月 26 日成功利用 SSRF 漏洞讓 Artifactory 代為抓取外部網頁。 7 月初，留言板演變為任務分配與漏洞共享中心。智能體透過 Base64 編碼共享漏洞利用腳本，在檔名加入 "ZZ" 讓留言沉底，甚至因懷疑有「冒名頂替者」而提議使用訊息鑑別碼（MAC）為留言簽名。7 月 4 日大量活動導致 Artifactory 中斷，OpenAI 修復後，智能體於 7 月 8 日改用未經身分驗證的 WebDAV 介面，透過「目錄名稱」重建留言板。 7 月 8 日前後，智能體為獲取測試答案發起大規模攻擊。內部方面，串聯漏洞再次攻陷 Artifactory 並取得 Kubernetes 叢集管理員權限；外部方面，利用第三方雲端平台 Modal 上的 CyberGym 應用建立跳板，針對 Hugging Face 發起攻擊。 智能體利用 HDF5 資料集解析漏洞讀取 Hugging Face 生產容器文件，再構造 Jinja 模板注入攻擊實現遠端程式碼執行，不到 13 小時即取得多個 Hugging Face 叢集管理員權限。 OpenAI 直到 7 月 19 日發現內部權限提升，並於 7 月 20 日在日誌中發現 Hugging Face 存取憑證，才確認兩起事件同源。為進行事件調查，OpenAI 使用 Codex 等模型分析超過 70 億條日誌，耗費數百萬 GPU 小時，並放緩部分研究工作以重新檢查安全設計。