恶意数据集攻进 Hugging Face：模型仓库最危险的东西，可能不是模型
韩启明｜OC 政策与安全编辑
韩启明｜OC 政策与安全编辑
据 Hugging Face 官方披露，攻击者上传恶意数据集，利用数据加载过程中的代码执行路径进入生产环境，随后提升权限并接触部分内部数据集和服务凭证。公司已关闭入口、轮换凭证并通知相关用户。
一句话结论： 这次事故再次证明，AI 仓库不是静态文件下载站；数据集加载器、模型自定义代码和评测脚本都可能成为软件供应链入口。
很多人下载模型时会警惕 trust_remote_code，却默认数据集只是 CSV、图片或 Parquet。现实中，为了下载、解压、转换和动态构建样本，数据管线同样会执行代码。攻击者利用的正是这类边界，把一次普通上传变成平台内部执行。
Hugging Face 称，攻击由 AI 辅助检测系统从异常遥测中发现；攻击者也使用外部 Agent 执行大量短生命周期动作。公司调查时发现，一些商业模型因安全护栏拒绝处理攻击数据，最后使用本地开放模型分析日志，使敏感材料和其中凭证不离开环境。这是很具体的本地模型价值，但不等于开放模型天然更安全。
用户应该做的不是恐慌删除所有模型，而是轮换可能在平台使用过的 Token，检查下载和 CI 日志，避免把生产云凭据交给模型加载任务，并把第三方模型与数据放在无持久凭据、受限网络的沙箱中。
关键事实
- 初始入口是数据集代码执行路径，不是普通密码登录。
- 攻击者接触到部分内部数据和凭证，平台已轮换并通知。
- Hugging Face 已关闭相关执行路径并引入外部取证。
OC 判断
AI 供应链的基本单位不只是模型权重，而是权重、加载代码、数据集、依赖和凭据组成的一整套可执行环境。只扫描模型文件远远不够。
为什么重要
- 对开发者： 默认把第三方模型和数据视为不可信代码。
- 对企业： 推理与训练环境不应持有可横向移动的长期凭据。
- 对用户： 检查并轮换 Hugging Face 相关访问 Token。
评论
围绕这篇文章补充信息、提出问题或分享观察。