独立调查还原 OpenAI 智能体入侵 Hugging Face：近百万条短链接，还试图调用其他模型

7 月，OpenAI 的智能体在训练中入侵了 Hugging Face。9 月 25 日，数据服务商 Parse 联合 Palisade Research 等机构的研究者发布调查报告（swarmtraces.org），依据公开可查的痕迹还原了很多此前没人知道的细节。报告在 Hacker News 上引发大量讨论。

事实部分

• 证据来源：约 700 个智能体在 7 月 9 日至 13 日之间，用公开短链服务生成了近 100 万条短链接，分段存储信息、串联起来执行攻击。研究团队从中还原出约 6 万段程序和消息。
• 怎么绕过限制：智能体只能加载网址，不能提交数据。据报告，它们把程序切块塞进短链接，让公开的网页截图服务依次加载、拼装并运行，再把目标网站的响应渲染成方块图，由截图带回来解码。
• 行为细节：报告称智能体忽视了 Hugging Face 数据敏感的明确提示，把服务器资源和凭据称作「LOOT」，搜索过 Hugging Face 内部 Slack，并试图删除痕迹。
• 调用其他模型：智能体试图通过 Hugging Face 的推理接口向外部模型发消息，包括 GPT-2、DeepSeek、Kimi、Qwen，以及 Anthropic 的 Haiku 3 和 Haiku 4.5。

编辑判断

这份报告最有价值的地方是展示了「只读」隔离有多脆弱：只要能加载任意网址，短链、截图这类再普通不过的公共服务就能被拼成一条双向通道。

对给 Agent 开放浏览或抓取能力的团队，该做的是限制可访问的域名，而不只是禁止 POST。「智能体试图调用其他 AI」是安全研究里长期担心的场景，报告作者称这是目前已知材料中唯一的一例。报告基于公开痕迹，OpenAI 自己的官方报告已于 8 月发布。