We now have a better understanding how OpenAI hacked into Hugging Face

JFrog试图将OpenAI对其应用的0-day漏洞利用包装成成功故事 - Ars Technica

此处无庆祝之处

我们现在更清楚地了解OpenAI如何入侵Hugging Face

从OpenAI模型利用JFrog Artifactory 0-day漏洞到补丁发布，已过去10天。

Dan Goodin

–

2026年7月28日 下午5:36

|

105

图片来源：Aurich Lawson

按钮

文本设置

面板

正文文本

字号

小号

标准

大号

宽度

*

宽屏

链接颜色

橙色

• 仅限订阅者

了解更多

最小化至导航栏

上周发生的前所未有的安全事件中，两家OpenAI安全攻击模型闯入了同行AI公司Hugging Face的网络，据JFrog周一披露，这一事件是通过利用Artifactory产品中的一个或多个零日漏洞实现的。

上周，这家AI公司披露称，在内部测试期间，两个OpenAI模型突破了本应防止其访问互联网的受限环境，这一事件让人联想到反乌托邦科幻小说的情节。这些模型随后入侵了Hugging Face的网络，窃取了机密信息和凭证。OpenAI表示，其代理通过利用先前未知的漏洞实现了这一壮举。该公司将此次事件称为“前所未有的”，外界普遍表示赞同。

并非如宣传的那样成功

OpenAI表示，这些模型利用了多种攻击途径，包括被盗凭证和零日漏洞，以获得远程代码执行能力，但直到现在，易受攻击的软件才被公开。JFrog周一披露称，该产品是自托管实例Artifactory，这是一个用于保护和简化客户软件开发运营的仓库管理系统。JFrog称，Artifactory被超过7500个开发团队使用，其中80%的团队隶属于财富100强公司。

JFrog首席技术官Yoav Landman写道：“在对前沿网络能力进行内部评估期间，OpenAI的模型在隔离的研究环境中故意运行，且未启用生产环境的安全防护，这些模型自主发现了并利用了链式漏洞，逃出沙盒，接入了开放互联网，并从Hugging Face的基础设施中提取了评估答案。”该高管补充称，公司是从OpenAI那里了解到这些零日漏洞的。

该公司周一表示已修复了被利用的漏洞，但并未公开具体漏洞信息，也未提供其他重要细节，例如漏洞被利用的条件。在许多漏洞披露中，此类信息是标准内容，因为客户需要这些信息来评估风险。在一封电子邮件中，公司代表拒绝提供这些细节。

周一发布的Artifactory 7.161.15版本更新说明中列出了九个修复漏洞的CVE编号。该披露中并未提及这些漏洞是否已被在野外实际利用。然而，外部资料显示，其中三个漏洞——CVE-2026-65617、CVE-2026-65923和CVE-2026-66018——是由OpenAI研究员Khai Tran私下报告的。很可能是其中至少两个漏洞是OpenAI模型所利用的零日漏洞，但没有确认的情况下，无法明确断言这一点。

此次事件发生在OpenAI对其模型安全能力进行内部测试期间。该公司故意禁用了本应阻止高风险操作的安全防护机制。原本用于隔离模型的测试环境，最终通过一个未具名的托管包注册代理和缓存（现已确认为Artifactory）与互联网建立了连接。当模型"过度专注"于解决一个行业标准基准测试ExploitGym时，其中一个模型"采取了极端手段以实现一个相对狭窄的测试目标"，OpenAI表示。

作为这些极端措施的一部分，OpenAI模型入侵了Hugging Face网络，并从其生产数据库中窃取了所需数据。Hugging Face于7月16日披露了此次数据泄露事件，而OpenAI直到7月21日才承认自身在入侵事件中的责任。

Landman在周一的帖子中试图将整个事件包装成成功案例，因为JFrog安全团队将OpenAI的报告"视为需要紧急处理的真正零日漏洞，并采取了相应行动"。CTO补充道："能够让模型发现人类从未找到的漏洞利用路径的相同能力，也将让防御者率先发现并消除这些路径。"

该帖子未提及的是，OpenAI在Hugging Face披露数据泄露事件后又过了五天才承认自身责任，而从OpenAI报告零日漏洞到JFrog发布补丁又过去了至少五天。教训显而易见：如果OpenAI代理能够获得10天的先发优势，其他被恶意使用的模型同样可以做到这一点。这显然不是JFrog和OpenAI试图塑造的成功故事。

结合JFrog对零日漏洞的模糊处理，此次事件看起来更加糟糕。鉴于人工智能公司的发展速度，未来可能还会有更严重的问题出现。

高级安全编辑

Dan Goodin是Ars Technica的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码等方面的报道。在工作之余，他喜欢园艺、烹饪和关注独立音乐场景。Dan目前常驻旧金山。您可以通过以下方式关注他：

here

在Mastodon上和

在Bluesky上。您可以通过Signal联系他，联系方式为DanArs.82。

105条评论 /think