7月16日该公司发布声明确认攻击由自主式AI智能体执行，导致少量内部数据集与服务凭证泄露，公开模型及软件供应链未受波及，目前正进行第三方调查并建议用户更换访问令牌。
美国人工智能企业Hugging Face于7月16日发布安全公告，确认其平台遭遇一起由自主式AI智能体发起的网络攻击事件。此次安全事件源于数据处理流水线中的漏洞利用，攻击者上传恶意数据集触发了两处代码执行路径缺陷，使自主AI系统在数据处理节点上成功运行恶意代码。获得初始权限后，该智能体在周末期间横向渗透至多个内部集群，并获取了云平台及集群的管理凭证。整个攻击流程均由AI智能体框架自动完成，显示出高度的自主操作能力。
根据平台方披露的细节，该恶意智能体在大量生命周期极短的沙盒环境中执行了数万次独立操作，并利用公共服务构建了可自主迁移的命令与控制基础设施，增加了追踪难度。目前无法确定该智能体具体基于哪个大模型构建，但分析显示其可能源于某种面向安全研究的AI系统。受影响的数据范围包括少量内部数据集及部分服务凭证，公司正在持续评估合作伙伴及客户数据是否受到波及。截至目前，Hugging Face确认所有公开模型、数据集以及Spaces服务均未遭到篡改，平台内的软件供应链体系，包括容器镜像和已发布的软件包，也经检查确认未受安全威胁。
针对此次事件，Hugging Face已修复相关数据处理漏洞，并邀请外部网络安全专家介入开展独立调查。为确保用户账户安全，公司建议所有用户立即更换账户访问令牌，并核查近期账户活动是否存在异常登录或权限变更。该事件发生在AI技术快速迭代的背景下，引发了行业对自主式AI工具潜在安全风险的重新审视。当攻击手段具备自主决策与执行能力时，传统网络安全防御体系面临新的测试，促使业界关注针对此类自动化攻击的监测与协同防御机制建设。