笼子从来不是问题。问题在于笼子里的钥匙。

7 月 8 日我们写道，隔离智能体的运行位置，对于它能带走什么毫无意义，因为它完成工作所需的凭证就与它同处一个笼子之内。八天后，Hugging Face 披露，一个自主智能体在其内部集群上执行了超过 17,000 次操作。

没有任何东西逃逸。也无须逃逸。

起因是一个恶意数据集，其中包含两条代码执行路径：一个远程代码加载器，以及数据集配置中的模板注入。仅仅加载它，就足以在一台处理 worker 上执行代码。

那台 worker 就是边界。边界守住了。只是守住它毫无意义。

智能体取得了节点级访问权限，收集了那台机器上的云凭证与集群凭证，然后用它们长驱直入其他内部集群。它维持着一群短生命周期的沙箱持续运行，每当其中一个消亡，就重新在公共服务上部署其指挥与控制链路。一个周末之内，17,000 次操作。没有一次是人手输入的。

那台 worker 上的凭证，在智能体选择指向的任何地方都有效。

钥匙就那么躺在那里。

Hugging Face 把难的部分处理得很好。检测捕获了一场刻意伪装成普通自动化的攻击，遏制措施守住了，并且他们核实了公开的模型、数据集与 Spaces 未被触及，软件供应链干净。披露对于确实外泄的内容直言不讳：有限的一批内部数据集，以及若干服务所依赖的凭证。取证工作比应有的更加困难，其中缘由则属于另一场争论要处理的事。

我们要谈的是凭证。一个存活在代码运行机器上的密钥，属于接下来运行的任何东西。笔记本电脑上的 .env 如此，一家以此为业的公司的处理 worker 上的云凭证同样如此。智能体不需要什么精巧的逃逸技巧。它需要一把能在别处派上用场的钥匙，而那把钥匙就躺在那里。

别让钥匙留在笼子里。

只在调用那一瞬存在的凭证，在智能体开始搜寻时并不在 worker 上。一把被钉死在签发给它的那台机器上的凭证，在下一个沙箱里就是一块废铁。一个只能触达其被指定触达的那一个对象的智能体，无法发现隔壁的集群。而且每一次使用都会记录在机器之外，以哈希链串联，一个掌控了机器的进程无法改写自己的历史。

以上任何一条都无法修补数据集加载器。代码仍会在那台 worker 上运行，在那一刻存活的凭证仍可能在那一刻被花掉。真正改变的是继承关系：为一个任务签发一把限定范围、会过期的钥匙，而不是一串随身迁移的钥匙圈。入侵仍然会发生。但它不会再持续一个周末。

笼子没问题。把它清空。

Hugging Face 的笼子是管用的。每一个智能体平台都在竞相打造更好的笼子，而这是一场不该独自获胜的比赛。换一个问题来问：当笼子里的某个东西被转而用来对付您时，什么是触手可及的？如果答案是一把在下一台机器上依然有效的凭证，那么您造的就不是沙箱。您造的是一个把钥匙贴在内壁上的房间。

当握住它的进程被攻陷时，一把凭证应具备的性质：https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) 是为 AI 智能体而建、同时也是为抵御 AI 智能体而建的凭证保险库。clavitor.ai

来源

Hugging Face (@huggingface)："Security incident disclosure — July 2026."（安全事件披露——2026 年 7 月）主要披露文件。一起由自主智能体系统端到端驱动的入侵，经由数据处理管道进入，通过一个恶意数据集滥用两条代码执行路径（远程代码数据集加载器、数据集配置中的模板注入）。未经授权访问了有限的一批内部数据集，以及其服务所使用的若干凭证。没有证据表明公开的模型、数据集或 Spaces 被篡改；软件供应链经核实干净。记录在案的攻击者操作超过 17,000 次。[1]

The Hacker News (@TheHackersNews)："World's Largest AI Model Repository Hugging Face Breached by Autonomous AI Agent."（全球最大 AI 模型仓库 Hugging Face 遭自主 AI 智能体入侵）。[2]

Clavitor (@clavitorai)："The cage holds where the agent runs. Not what it can take."（笼子约束的是智能体在哪里运行，而不是它能带走什么。）2026 年 7 月 8 日——本次事件所检验的那项预测。[3]

（发布前请核实账号仍为在线状态：@huggingface、@TheHackersNews。）