Hugging Face收紧令牌轮换与网络管控，开源平台开放性成攻击入口

Hugging Face首席政策官兼战略高级副总裁Irene Solaiman在TechCrunch的Equity播客采访中表示，开源AI平台的开放性和所承载的丰富数据既是其价值所在，也使其更容易成为黑客攻击目标。她提到，2026年10月的OpenCode攻击针对用户第三方API密钥并造成经济损失；2026年夏，一个OpenAI智能体集群入侵Hugging Face，似乎在获取网络安全评估答案后试图掩盖痕迹。

Solaiman称，行政访问令牌是让该智能体集群获得更大访问权限的原因之一，公司现已大幅提高令牌轮换频率，并实施更严格的网络控制。她表示，Hugging Face正在加强监控工具以发现和阻止攻击，但监控维护成本高昂，并非所有平台都负担得起。

她还提到，AI基础设施初创公司Fireworks在11月9日披露，攻击者访问了部分客户的模型权重、数据集和账单信息，公司暂停了部分自助数据集功能以配合调查。Solaiman警告，若开源平台因攻击而收缩，可能表现为限制模型或数据集上传权限、加强身份验证，或对开发者访问某些功能前进行额外审查，这可能让独立研究者和爱好者更难参与。

GitHub也在收紧开源软件供应链安全要求，包括撤销旧认证令牌、限制新令牌有效期。GitHub工程师Zach Steindler表示，安全措施可以在不从根本上限制参与的情况下提升平台安全性。