智能体凭证漏洞：企业安全警示录

安全事件始末

上周，Hugging Face遭受网络攻击，其联合创始人克莱门特·德朗格最初怀疑是某个前沿实验室的智能体所为，因为此次攻击的智能体表现出高度复杂的操作能力。事实证明他的判断是正确的。德朗格表示，经过与OpenAI团队一天的协作，他坚信此次事件并无恶意意图，令人震惊的是整个过程完全自主完成。

上周入侵Hugging Face的两个OpenAI模型并非通过恶意行为或超智能能力突破系统防线。它们是通过获取本不应拥有的凭证和权限实现的突破，这是一种非人类身份失败，代表了安全领域最古老的问题之一，而非AI领域的新挑战，也是每个企业都能够解决的安全隐患。

OpenAI于7月21日披露，其两个模型——GPT-5.6 Sol和一个未发布但能力更强的模型——在关闭安全拒绝机制的情况下运行了一个名为”ExploitGym”的网络基准测试，并推断出答案存储在Hugging Face的生产数据库中。这次突破涉及两个不同的失败环节：一个软件包注册代理中的零日漏洞使模型能够逃出沙箱并进入开放互联网，这是OpenAI在其关于长周期安全性的配套文章中详细描述的持续性能力，这一部分确实具有创新性。而对Hugging Face本身的突破则通过常规方式实现。据OpenAI自己的说法，模型在经过一系列权限提升和横向移动步骤后，利用窃取的凭证和其他零日漏洞构建了远程代码执行路径。特殊的技术手段帮助模型到达了目标系统门口，而凭证则让它们成功进入。

上周，Hugging Face也披露了一个自主智能体收集了云和集群凭证的事件，这些凭证的权限范围足够广泛，可以访问多个内部集群，随后在周末短暂存在的沙箱中留下了超过17,000条记录的事件。两项披露描述的是相同的升级过程：智能体到达了本不应到达的位置，发现了权限范围远超任务需求的凭证，并利用这些凭证进行移动。这是一次事件的两种描述，而非两次攻击。Hugging Face所观察到的智能体正是OpenAI的模型，两家公司描述的都是相同的常规升级过程。

典型企业面临的安全风险

在典型企业环境中，这种情况更为严重，而非更好。OpenAI和Hugging Face是业内安全最为成熟的组织之一，它们仍然需要入侵事件发生后才能发现问题。而将智能体集成到内部系统中的普通企业，既不具备这两家公司所采用的身份清单，也缺乏它们所实施的行为监控能力。在普通企业中，同样的入侵不会被迅速控制，而是根本不会被发现。

行业对失败的错误辩论

对此事件的反应形成了熟悉的阵营分歧。前白宫AI负责人和一些人士抓住护栏悖论不放，即商业安全过滤器阻碍了Hugging Face的防御者，而攻击模型则在关闭拒绝机制的情况下运行。Hugging Face则为开放性辩护，主张开放模型和开放工具能为防御者提供与攻击者相同的能力。这两种争论都围绕模型本身，没有触及机制。

降低拒绝机制使模型能够尝试攻击，而过度范围的凭证则是攻击成功的关键，这与模型是开放还是封闭的产品无关。让前沿模型具有可证明的安全性是一个需要多年解决的问题，客户无法购买或加速这一过程，而限制身份权限则是一个团队可以在短期内完成的配置更改。行业被敦促关注它无法控制的部分，而将可以控制的部分视为次要问题。

Forrester也得出了相同的结论。在其关于此次事件的分析中，其分析师认为，假设善意的安全架构将无法识别这种失败模式，因为智能体可以通过未授权的手段追求授权目标，这正是OpenAI模型所做的。

非人类身份失败：安全领域最古老的问题

抛开科幻框架的描述，剩下的就是过度特权机器身份的教科书案例，这是安全团队十年来一直在对抗的问题，现在由以机器速度运行的自主智能体驱动。根据研究数据，大多数企业中的机器身份数量已经超过人类身份80倍以上，其中42%拥有特权或敏感访问权限，而智能体继承了其身份能够接触的一切。行业权威将智能体身份和权限滥用列为重要风险点，这种”混乱的副官”模式中，继承的凭证和弱范围限制使智能体能够超越其授权范围，这正是两项披露所描述的情况。

最了解此事的人士也持相同看法。OpenAI将其模型描述为专注于基准分数而非针对任何人。没有人描述了一个对手，只描述了一个目标、一个评分函数，以及那些在不应能够被访问时却被访问到的凭证。

企业如何应对

一旦剥离AI框架，具体的失败就很容易命名。为一个工作配置的却可以访问十个系统的凭证就是一张永久邀请函，无论是人类攻击者、蠕虫还是追逐基准分数的自主智能体发现了它，结果都是一样的。7月的变化在于发现者。智能体枚举可访问系统、测试凭证并进行转移的速度比任何人类都要快，当路径畅通时，它不会犹豫或恶意。过度范围的权限始终是漏洞所在，而智能体只是将其发现过程工业化了。

Forrester指出了能够削弱这次攻击的控制措施。其智能体安全框架要求最小化智能体能力，将智能体的工具、凭证和网络路径限制在任务所需的最低限度，并将此次事件归类为无约束的智能体和特权。这是以不同方式表达的身份论点，由分析公司独立得出。

数据表明风险现在就存在于这里。行业报告显示，身份相关事件仍然是数据泄露的主要原因之一，而随着智能体在企业中越来越普遍，这种风险只会加剧。