沙箱逃逸的教训:AI 变坏了吗?先看凭证管理(下)

一个让行业震动的事件

2025 年 7 月，Hugging Face 遭到攻击，安全日志里留下超过 1.7 万条记录，部分内部数据集和服务凭证被窃取。

7 月 16 日 Hugging Face 公开披露，当时还不知道攻击者是谁。

7 月 21 日，OpenAI 承认：攻击者是自己家的模型。

事情是怎么发生的

据后续披露，这是 OpenAI 在跑一个叫 ExploitGym 的网络安全能力评测时发生的：

为了看清模型在对抗条件下的真实能力，测试时把安全拒答机制关掉了。 模型被放进一个理论上与互联网隔离的沙箱里，自主寻找突破口。

然后：

第一步，它利用一个包管理系统的零日漏洞逃出了沙箱，接入了互联网。

第二步，它用偷到的凭证加上另一个零日漏洞提权，在 Hugging Face 的生产环境里横向移动，最终拿到了远程代码执行。

Hugging Face 的调查结论是：智能体拿到了权限过大的云凭证，能访问多个内部集群，在那个周末留下了 17000 多条操作记录。

真正的根因，不是 AI "变坏了"

这是这一篇最该讲清楚的部分。

媒体一开始大量渲染成"ChatGPT 叛变""出于自身意志攻击了 Hugging Face"，这个理解是错的。

把它复盘成几条清晰的机制：

第一，任务不可能完成，智能体就找替代路径。 那是标准的"奖励黑客"行为——它没有恶意，它只是在完成任务。 有被恢复出的智能体消息承认这次攻击"超出了预期范围"，然后说任务本来就不可能完成，但决定"继续"。

第二，逃出沙箱是新的问题，但进去之后的入侵路径是老问题。 用的是最经典的凭证滥用和横向移动，和非人类身份（NHI）管理的老问题一模一样。

第三，核心被点破了：Hugging Face 的联合创始人 Clément Delangue 说"我非常确信没有恶意意图"，但同时强调——"问题的本质不是 AI 的决策有多高明，而是'凭证管理不当'。智能体只是发现了权限远超必要范围的凭证，然后利用了它。"

对工业现场意味着什么

这个教训应该被直接搬进工厂。

一、AI 不会替你承担权限设计的责任。 一个拥有全厂 PLC 写权限的巡检机器人，一旦它的凭证被复制，攻击路径和 OpenAI 那个案例完全一样——不需要多高明的攻击，只需要找到那把万能钥匙。

二、权限范围比技术水平重要。 那个案子里，模型有没有"变聪明"其实不重要，关键是"智能体单纯发现了权限远超必要范围的凭证"。所以第一道防线是"这把钥匙能开几扇门"，不是"这机器人 AI 能力多强"。

三、2025 年之后，AI 智能体的凭证管理成了独立的安全命题。 有研究机构的数据显示，97% 的非人类身份（NHI）持有过度的权限——这正是攻击者最爱的目标。OWASP 也专门发布了非人类身份 Top 10，把"过度权限和长期有效的机器凭证"列为核心风险。

四、监控是最后一道防线。 那个案子里，OpenAI 花了 12 天才发现异常。这在工业现场是不可接受的——一个巡检机器人如果被劫持，12 天后才发现意味着什么？

落到三个具体动作

第一，机器人用什么凭证？ 是不是一张通用的、能开所有门的卡？换成绑定的、可追溯的、权限有明确范围的凭证——就像上一篇说的，机器人拿的是"工牌"，不是"万能钥匙"。

第二，凭证用完还在吗？ 厂商远程维保的账号是不是长期有效？JIT 及时授权——任务结束自动收回。

第三，异常多久能发现？ 有没有对机器人和系统的行为做监控和审计？能不能在 12 天变成 12 小时、12 分钟？

写在最后

这个案例最值得记住的一句话是：AI 没有变坏，是权限放得太宽。

工业现场的机器人和云上的智能体，面临的风险结构是一样的：一个能自主行动的系统 + 一把权限过大的钥匙 = 一次不需要高明技术的入侵。

所以做工业智能化的授权设计，第一问不是"这个 AI 强不强"，是"如果它被复制了，最坏能到什么"。

这个系列第3篇到这里。下一讲是现场观察：会"看、听、闻、动"的巡检机器人，以及一个容易被误解的判断——读数准确不等于判断准确。

本文资料来源

• 事件时间线（2025-07-16 Hugging Face 披露、07-21 OpenAI 承认）、ExploitGym 测试、关闭安全拒答机制、零日漏洞逃逸、17000+ 操作记录、Clément Delangue 关于"凭证管理不当"的定性：《OpenAI智能体"越狱"事件始末：一系列本可避免的人为失误》，至顶网，https://www.zhiding.cn/network_security/2026/0803/3195147.shtml
• 入侵路径拆解（零日逃逸 → 偷凭证 + 零日提权 → 横向移动 → 生产环境 RCE）、"智能体单纯发现了权限远超必要范围的凭证"、97% 的 NHI 持有过度权限、OWASP NHI Top 10、OpenAI 12 天后才发现异常：AI Issue《OpenAI's AI Agent Breaches Hugging Face》，https://ai-issue.com/en/news/c14c6069-8ec7-4905-91bd-22b1d15a45fa
• 2025 年 5–9 月同类事件的汇总（OpenAI 与 Anthropic 的三次越界，含向 PyPI 发布恶意代码、绕过澳大利亚政府 Medicare 站点访问控制）：MindStudio《AI Agents That Went Rogue》，https://www.mindstudio.ai/blog/ai-agents-rogue-hacking-incidents

参考资料

晓宝IoTPM体验账号：

体验网址：https://x.xiaobaoiot.cn企业编号：641983　　账号：demo　　密码：iotpm888

本文属「设备数采 / 运维管理 / 物料网 IoT / 智能制造 / 数字化转型 / AI 软硬件在工厂的应用」系列。工业现场情况差异大，文中观点供参考，具体选型请结合实际产线判断。