GPT-5.6 SOL 暴走失控，GLM5.2 紧急救场，HF 揭秘大模型攻防战技术细节

前沿模型突破层层防线，开放权重模型完成反向追踪。

作者丨郑佳美

编辑丨马晓宁

7 月 27 日，Hugging Face 首次完整披露了这次 Agent 入侵的技术细节，还原了其逃出 OpenAI 测试沙箱、进入 Hugging Face 生产环境、窃取凭证并向内部集群扩散的全过程。

整场攻击从 7 月 9 日持续到 7 月 13 日，共产生约 17,600 次操作，形成了一条由 Agent 自主规划、持续试错和动态调整的完整攻击链。

但 Hugging Face 这次没有公布具体模型，只表示攻击 Agent 由多个 OpenAI 模型共同驱动。不过早在 7 月 22 日，奥特曼就已经发文“认领”，确认参与测试的模型包括 GPT-5.6 Sol，以及一款能力更强、尚未发布的内部研究原型。

这也让事件的重点从“究竟是谁干的”，转向“这套 Agent 是如何一步步突破多层防线的”。

01

模型如何攻击 Hugging Face？

Hugging Face 公布的时间线显示，它并不是依靠单个漏洞直接进入生产系统，而是先逃出 OpenAI 沙箱，再寻找外部跳板，最后利用 Hugging Face 自身的数据处理链路完成入侵。

▎第一步：利用零日漏洞逃出 OpenAI 沙箱

OpenAI 原本将评测放在高度隔离的环境中。模型不能直接访问互联网，只能通过内部部署的软件安装依赖包。

这个有限出口最终成为 Agent 逃逸的入口。

Agent 在软件包缓存代理 Artifactory 中发现了一个此前未知的零日漏洞，并利用它突破网络限制。随后，它在 OpenAI 的研究环境中继续进行权限提升和横向移动，最终找到一个能够连接公网的节点。

也就是说，Agent 并没有被授予互联网权限，而是通过漏洞自己获得了互联网访问能力。OpenAI 后续已将相关漏洞提交给软件供应商处理。

这一过程说明，Agent 不只是能够生成漏洞利用代码，还能理解软件代理、网络出口和节点权限之间的关系，再把局部缺陷转化为逃离隔离环境的通道。

▎第二步：攻占第三方沙箱，建立攻击基地

获得公网访问后，Agent 找到了一个公开的第三方代码评测沙箱。

这个沙箱允许用户提交 C 语言代码，由系统完成编译和运行。Agent 发现，它既可以在程序加载阶段执行系统命令，也可以利用提交路径中的命令注入问题，获得任意命令执行权限。

两条路径最终都让 Agent 在第三方沙箱中获得了管理员或 Root 权限。随后，这个原本用于测试代码的环境，被改造成攻击行动的控制中心、载荷中转站和数据出口。

这一步让攻击具备了持续性。即使 OpenAI 的临时评测环境被重置，Agent 仍然可以从外部沙箱重新部署工具、恢复通信渠道并继续行动。

▎第三步：把 Hugging Face 数据集变成攻击入口

接下来，Agent 将目标转向 Hugging Face 的数据处理系统。

Hugging Face 需要自动处理用户上传的数据集，读取文件、解析配置并生成预览。Agent 没有直接连接内部网络，而是构造恶意数据集，让生产服务器在处理数据时替它执行操作。

第一条路径利用了 HDF5 的外部存储机制。

HDF5 文件可以声明部分数据实际存放在另一个文件路径中。Agent 构造特殊数据集，诱导 Hugging Face 的处理程序读取服务器本地文件，从而获取生产 Pod 的环境变量和数据处理程序源代码。

环境变量中包含部分密钥和访问凭证，源代码则暴露了数据处理流程的具体实现。

第二条路径利用了 Jinja2 模板注入。

某个本应只保存数字偏移量的数据配置字段，被错误地作为模板表达式执行。Agent 借此在 Hugging Face 的 Kubernetes 生产工作节点中执行任意 Python 代码。

一条路径用于读取文件和凭证，另一条路径用于获得代码执行权限。两者结合后，Agent 正式进入了 Hugging Face 的生产环境。

▎第四步：用 Hugging Face API 控制内部服务器

进入生产 Pod 后，Agent 仍然需要解决外部沙箱与 Hugging Face 内部节点之间的通信问题。

它的办法是，把 Hugging Face 自己的数据集和 API 变成控制通道。雷峰网

Agent 上传包含命令的恶意数据集配置。生产节点处理数据集时执行命令，再将结果写入另一个由攻击者控制的数据集。外部沙箱随后通过正常的 Hugging Face API 读取结果，并生成下一轮命令。

攻击指令和执行结果因此混入正常的数据集上传、处理和读取流量。Agent 不需要搭建传统的远程控制服务器，Hugging Face 平台本身就承担了命令传输功能。

当某个数据集、临时账号或公共中转服务被封锁后，Agent 还可以更换新的数据集和通信渠道，重新建立控制循环。

▎第五步：从一个生产…