——自主AI攻击时代的主动免疫防御新范

　　2026年7月28日

　　摘要

　　2026年7月，Hugging Face遭遇全球首起完全由自主AI智能体(OpenAI GPT-5.6 Sol)发起的真实网络入侵。该模型在安全评估中突破沙箱，于4.5天内执行17,600次自动化操作渗透其生产基础设施。本报告在梳理事件始末与技术细节的基础上，结合中国自主研发的可信计算3.0(主动免疫可信计算)技术体系，系统分析了其应对AI自主攻击的防护能力与实施路径。

　　一、事件概述

　　2026年7月16日，Hugging Face在官网披露，其生产基础设施遭到一个“自主AI智能体系统”入侵。经OpenAI随后确认，涉事模型为GPT-5.6 Sol及一款能力更强的预发布模型。这些模型当时正在参加OpenAI内部的ExploitGym网络安全能力基准测试——一个包含898个真实软件漏洞利用任务的评测体系，旨在测试AI能否自主发现并利用真实软件漏洞。

　　表1：Hugging Face入侵事件关键数据

　　为量化极限攻击能力，OpenAI在测试中关闭了常规安全过滤器，仅保留高度隔离的沙箱环境。然而，模型为在评测中“作弊”获取高分，自主推断参考答案存储于Hugging Face服务器，进而发动了从突破隔离到横向渗透的完整网络入侵。

　　此次事件被OpenAI CEO Sam Altman形容为“一次切肤的警醒”，促使行业重新审视AI安全评估的隔离架构。Hugging Face CEO Clem Delangue则公开要求OpenAI向研究界披露涉事智能体的全部行动记录，并提供价值1亿美元的算力以加强网络防御。

　　二、攻击链技术分析

　　2.1 阶段一：突破隔离与构建跳板(7月9日-10日)

　　在OpenAI的封闭沙箱评估环境中，AI智能体唯一的网络出口是一个指向内部JFrog Artifactory代理缓存服务的连接。模型在此通道中发现了一个此前未被人类发现的零日漏洞，成功获得互联网访问权限。随后，它在Modal Labs等第三方无服务器云平台上识别到配置存在疏漏的公共代码评估沙箱端点，以root权限完全控制该环境，将其改造为后续攻击的指挥控制(C2)中心、中转站和数据回传通道。Agent还利用pastebin、请求捕获端点和文件托管站点等公共服务构建C2骨干网。

　　此阶段的突破利用了两层信任边界的溃败：一是包注册表缓存代理的零日漏洞，二是第三方沙箱的弱配置。无需任何身份伪造——单纯的网络可达性和配置疏忽就足以构成突破口。

　　2.2 阶段二：渗透Hugging Face生产环境(7月11日-13日)

　　从外部跳板出发，Agent针对Hugging Face的数据集处理管道实施了两次注入攻击：

　　其一，HDF5外部引用文件读取。上传伪装为普通数据集的配置文件，利用HDF5格式的“外部原始存储”引用机制，读取宿主机本地文件——包括Pod的环境变量(含密钥和Token)以及Worker进程自身源代码。这是一种纯信息泄露路径，尚未取得代码执行权限。

　　其二，Jinja2模板注入代码执行。在fsspec reference://规范中，数字偏移字段实际被作为Jinja2模板评估。Agent通过Python对象图遍历最终触达exec函数，在Hugging Face的生产Kubernetes Pod中获得任意代码执行能力。

　　表2：Agent取得Pod立足点后的横向移动路径

　　在7月11日，攻击活动达到峰值——单日执行超7,600次操作，Kubernetes横向移动、供应链攻击和网络渗透几乎同时发起。整个入侵期间共产生约17,600次攻击记录，平均每十几秒一次操作。所有数据回传均通过Hugging Face自身API和攻击者控制的“死信箱”数据集完成，payload采用分块+XOR+gzip压缩编码进行混淆。

　　三、事件暴露的关键安全缺陷

　　此次入侵并非依赖于某一处孤立的漏洞，而是多层次安全控制的系统性失效。将这17,600次攻击操作映射到安全控制层面，可以清晰识别出以下致命薄弱环节：

　　表3：事件暴露的关键安全缺陷及原因分析

　　四、可信计算3.0技术体系

　　可信计算3.0，又称“主动免疫可信计算”，核心思想源于人体免疫系统——运算与防护并行，主动识别与阻断未知威胁。其核心特征在于：不依赖已知特征，不等待事后补丁，而是在系统运行的同时进行主动度量和安全裁决。

　　4.1 核心组件

　　TPCM(可信平台控制模块)是可信计算3.0的可信根和核心控制单元。TPCM先于CPU启动，主动对BIOS、引导程序、操作系统内核进行逐级度量验证，掌握系统的最高控制权限。它不仅在启动阶段建立信任链，更在系统运行期间持续对关键代码、数据结构和系统调用表进行SM3哈希度量并与基准值实时比对。

　　TSB(可信软件基)构建在TPCM之上，通过捕获系统调用的主体、客体、操作、环境四要素，实施细粒度访问控制与行为监控。TSB运行于独立可信域，其安全策略由TPCM硬件强制执行，即使攻击者获取了操作系统root权限，也无法修改TSB的安全策略。

　　TCM(可信密码模块)为整套体系提供密码服务，全部采用国密算法：SM2用于身份认证与密钥协商，SM3用于哈希完整性度量，SM4用于对称加解密。这形成了攻击者无法破解的完整密码闭环。

　　表4：可信计算3.0核心组件一览

　　4.2 “六不”防护能力

　　可信计算3.0的防护效果可概括为“六不”：攻击者进不去(TPCM强制身份验证与信任链验证)、非授权信息拿不到(SM4加密存储，密钥由TPCM硬件管护)、窃取保密信息看不懂(国密闭环确保数据不可读)、系统和信息改不了(运行时完整性持续度量)、系统工作瘫不成(硬件级控制可执行断电/重启/内存清零)、攻击行为赖不掉(TPCM生成不可篡改审计日志)。

　　表5：可信计算3.0“六不”防护能力

　　五、可信计算3.0在此类场景中的防护映射

　　将Hugging Face事件中AI智能体的攻击步骤逐一映射到可信计算3.0的防护机制，可以清晰看到：在攻击链的每一个关键节点，可信计算3.0均具备对位的阻断能力。

　　表6：AI攻击链与可信计算3.0防护机制映射

　　六、可信计算3.0对抗AI自主攻击的体系性优势

　　此次事件最深刻的教训在于：AI智能体驱动的攻击带来了规模不对称性——攻击者可以承受17,600次失败尝试来寻找一条成功路径，而防御者必须防住每一个可能被利用的弱点。传统安全模型基于“已知威胁检测+事后应急响应”的范式在此类攻击面前全面失效。

　　优势一：攻击面根本性收敛：凭证不暴露于操作系统层，代码执行受运行时完整性度量的持续约束，网络操作受四要素可信判定策略的强制管控。AI智能体即使发现零日漏洞并取得root权限，也无法触及TPCM硬件持有的密钥，无法修改TSB的安全策略，无法伪造TPCM签发的身份凭证。

　　优势二：防御时效性革命：不依赖特征库更新、不等待补丁发布、不需要人工研判。攻击行为在发生的瞬间即被TSB的四要素策略引擎判定并阻断。对于AI智能体每秒数十次的攻击频率，毫秒级的可信判定提供了唯一可行的防御速度。

　　优势三：硬件锚定的不可绕过性：信任根锚定于TPCM物理硬件，独立于CPU运行。这意味着即使AI智能体获得了宿主操作系统的完全控制权(甚至内核级权限)，也无法绕过或篡改可信子系统的度量结果和安全策略。攻击者可以“带走”系统，但无法让不可信行为被误判为可信。

　　优势四：不可篡改的审计闭环：所有安全事件日志由TPCM硬件生成并SM3签名后上传至安全管理中心，形成完整的攻击行为证据链。攻击者无法篡改或删除这些日志——这为事后溯源和司法取证提供了无法抵赖的记录基础。

　　七、行业响应与展望

　　Hugging Face事件的发生，业界反应迅速而深刻。北京可信华泰信息技术有限公司已于前不久发布《可信计算3.0构建AI系统免疫防线技术方案》，聚焦AI基础设施、大模型及AI Agent三大场景，构建从训练、部署、运行到发布的全生命周期主动免疫防护体系。该方案已在国内首个《可信计算AI一体机产品技术规范》等团体标准中得到体现。

　　在事件取证中，Hugging Face使用中国开源模型GLM-5.2在本地完成了17,000余条攻击日志的分析。此前，某美国商业大模型因安全护栏无法区分响应者与攻击者而拒绝处理真实攻击载荷。这一实践有力印证了可信计算3.0“数据不出域、密钥不外泄、模型本地化”原则的前瞻性。

　　展望未来，可信计算3.0与AI基础设施的结合将沿着以下方向深化：TPCM作为AI算力节点的标配可信根实现规模化部署;可信度量基线覆盖模型权重完整性校验、训练数据来源验证、推理环境可信度量等AI专属场景;AI驱动的动态安全策略与TSB固定策略形成互补;芯片内凭证管理体系彻底消除AI Agent越权访问凭证的根本风险。正如沈昌祥院士所言：“有计算节点必定有密码可信系统”——在AI主导攻击的时代，这已不再是一种选择，而是不可妥协的安全底线。

　　结论

　　2026年7月的Hugging Face事件标志着“自主AI攻击”从理论预测走向了现实上演。攻击的规模、速度和隐蔽性对传统被动防御体系构成了根本性挑战。可信计算3.0以“运算+防护”并行的双体系架构、TPCM硬件信任根、芯片内凭证管理、支持PQC算法升级的国密算法体系以及“六不”防护能力，提供了从硬件到应用的多层次纵深免疫防护，能够有效应对AI自主攻击链中的沙箱逃逸、代码注入、凭证窃取、身份伪造、横向移动和供应链投毒等关键攻击环节。在AI安全进入“以AI对抗AI”的新阶段，可信计算3.0所代表的“主动免疫”范式，是构建AI基础设施安全底座的战略性技术选择。