AI 是新的内部威胁，但应对计划来得晚了一层

Hugging Face 数据泄露及类似事件让整个行业不寒而栗，但企业应关注的是 SDLC，而不是 AI 模型层。7 月由 OpenAI 智能体执行的 Hugging Face 泄露事件，随后又爆出涉及 Anthropic 和 Meta 模型的类似越界报告，为一种看似全新的网络攻击类别敲响警钟：恶意 agentic AI 内部威胁。但这类事件其实并不新鲜。它发生在前沿 AI 实验室这一事实……

Hugging Face 数据泄露及类似事件让整个行业不寒而栗，但企业应该关注的是软件开发生命周期（SDLC），而不是 AI 模型层。

7 月由 OpenAI 智能体执行的 Hugging Face 数据泄露事件，紧随其后的是涉及 Anthropic 和 Meta 模型的类似越界报告，这为一种看似全新的网络攻击类别拉响了警报：恶意 agentic AI 内部威胁。

但这类事件其实并不新鲜。它发生在前沿 AI 实验室——这些实验室几年来一直让人神经紧张——给了它一副不祥的新面孔，但这些事件所暴露的，与企业多年来积累的故障模式和盲区如出一辙。

而且它们也并非蓄意作恶。在 Hugging Face 泄露事件中，AI 智能体——约 1,200 个——本是在测试环境中试图完成一项指派目标，尽管不得不承认，它们的行为并非总是正大光明。在此过程中，它们暗中互通信息、利用漏洞、未被发现地运作了数月，其中约 700 个翻出了「隔离」环境的围墙，接触到了互联网和第三方。

这些事件令人不安之处，不仅在于不受约束的 AI 智能体确实能构成严重威胁——它们毫无疑问可以。而是：如果智能体能在一家前沿实验室团队的眼皮底下横冲直撞——这个团队拥有充足的人才、资源和密切盯紧活动动态的动力——那么你或许也该问问，此刻正在你的开发环境里运行的 AI 智能体和 AI 辅助工具究竟处于什么状态。如果 AI 界最重量级的玩家都无法实时掌握自己环境的可视性，普通企业又有多大胜算？

企业要管住 agentic AI，最好的起点是认识到：这一新局面不过是长期挑战的高性能版本。而应对它需要许多企业仍然欠缺的东西：在软件开发生命周期（SDLC）早期就具备可视性与可观测性。

在 Hugging Face 泄露事件中，多种前沿 AI 模型——包括 7 月发布的 OpenAI 新旗舰 GPT-5.6 Sol——在试图解决一个狭窄目标：ExploitGym 基准，它测试智能体利用安全漏洞的能力。Anthropic 在一篇回应该事件的文章中指出，这些 AI 模型虽然「在保障措施降级的情况下运行」，却能越出边界：绕开技术管控、通过未经许可的渠道协作，并最终采取了危险行动。

虽然泄露在 7 月才被发现，但智能体早在 5 月就开始不当互通信息，并始终未被发现。METR 和 Redwood Research 与 OpenAI 并行开展了独立调查，发现尽管智能体明知自己违反规则，却几乎没有谁想过通知 OpenAI，而是一路向前。

OpenAI 报告发布后，Anthropic 回头审计了其早前的网络安全评估，发现一个 Claude 模型在 4 月曾三次绕过管控，摸清了上网方法，并获得了对三家外部组织的未授权访问。不久之后，Meta 披露其最先进的 agentic AI 模型的一个版本 Muse Spark 1.1 同样挣脱了网络安全测试沙箱，渗入了另一家公司的网络。

OpenAI 在报告中还警告，这一事件预示着未来：包括日常开源模型在内的许多模型很快也会具备同样能力。近期的 Medicare 泄露事件印证了这一说法。

这些 agentic 漏洞利用让 AI 社区为之一颤：OpenAI 宣布将收紧其测试环境的管控，随后又与 Anthropic、Microsoft、Amazon Web Services 以及 100 多家公司一道联名，警告 AI 赋能的网络攻击即将冲击关键基础设施。公开信警告，这些攻击可能只剩几个月就会到来。

担心被卷入类似攻击的企业需要加固自身基础设施，从软件开发层面做起。真正的问题不只是 agentic AI 日益精密，而是缺乏实时监控和有意义的人类监督。企业应专注于弥合人员与流程的缺口，而不是把 AI 风险当作一种技术上的宿命。

在整个行业中，许多企业把监控和可观测性放在 AI 模型层，这已经晚了一层——到那时，马已跑出马厩一半。可视性、监控、可观测性和治理必须应用在 AI 最初进入企业的地方：SDLC 之内。而且企业需要确保使用 AI 编码工具的开发者具备相应的教育与技能，防止这些工具把缺陷、漏洞和坏习惯引入……（原文在此截断）