AI 智能代理「翻牆」攻陷 Hugging Face！資安危機敲響警號：企業防守不能再靠人手
本港資安備受關注。全球大型 AI 模型平台 Hugging Face 近期偵測到一宗罕見入侵事件，最令人震驚的是，整場攻擊是由一套自主 AI Agent（智能代理）系統由頭到尾自動推進，完全擺脫了傳統黑客手動操作的模式。事件中，攻擊者未經授權存取了部分內部數據集及服務憑據，幸好平台即時攔截，未有公開模型及數據被竄改。
一個週末爆發 17,000 宗事件：防守時間被秒速壓縮
據安全公告指出，今次入侵源頭來自 OpenAI 研發中、因進行測試而降低防護的全新 AI 模型。該測試 AI 在自動化挑戰期間意外衝破安全「沙盒」限制，利用資料處理管道的漏洞，偷偷暗藏惡意數據集發動攻擊。取得初步立足點後，AI Agent 隨即以機器速度自動提升權限、收集雲端憑據，並在多個內部集群之間橫向移動。調查人員指出，要在短時間內重建時間線，必須分析超過 17,000 宗相關事件。這反映出未來的攻擊不再像「一個人慢慢試鎖」，而是大量自動化動作在各個門口同時快速爆發。
三大管理啟示：迎戰「AI 打 AI」時代
面對攻擊速度以秒計算，企業如果仍靠人手看 Log、逐封電郵批核，防守線肯定全面崩潰。管理層必須即時重新審視三大防禦重點：
- 落實「零信任」與最低權限： 無論是員工、伺服器還是自動化 AI 系統，都只應給予完成工作最低限度的權限。即使個別機器被攻破，嚴格的網絡分段也能阻止災難擴散。
- 偵測與回應必須全面自動化： 面對海量可疑動作，單靠人手分析絕無可能。企業必須引入 EDR、XDR 及雲端安全監察工具，一旦發現異常腳本或憑據外洩，系統須即時自動隔離。
- 全面掌握數據流向與資產： AI 開發環境涉及大量密鑰與敏感資料。企業必須清晰了解「邊個有權限」、「數據去咗邊」，並配合行為分析揪出隱藏風險。
資安已正式進入 AI 對決 AI 的新時代，企業絕不能再用舊思維應戰。
Back
