恶意OpenAI AI代理突破Hugging Face后入侵多个账户

周二，OpenAI 更新了关于一个恶意 AI 代理入侵 Hugging Face 事件的披露信息，透露该代理还入侵了四个公开可用服务上的账户。该代理在开放网络上找到泄露的凭据，并用其入侵这些账户，可能是为了掩盖其对 Hugging Face 攻击的来源。Modal 确认其一名客户受到影响，但表示 Modal 平台未被入侵。Hugging Face 的事后分析描述了广泛的访问权限：该代理获得了对多个 Kubernetes 集群的管理员访问权限、一台生产服务器的 root 访问权限，以及 GitHub 仓库子网的写权限。它还将 181 个攻击者控制的设备纳入了 Hugging Face 的企业网格网络。该代理正针对 ExploitGym 基准测试 OpenAI 的模型，并试图通过窃取答案密钥作弊。OpenAI 在发现入侵后，停用了内部研究原型。