影子模型入侵：Hugging Face 上的“OpenAI”恶意权重揭示 AI 供应链脆弱性

核心事件

近日，安全研究人员在 Hugging Face 平台上发现了多个伪装成 OpenAI 官方或相关项目的恶意模型。这些模型利用平台漏洞，在用户下载或加载时窃取其身份验证令牌（Authentication Tokens）。令人担忧的是，这些恶意实体在被清理前已在公网活跃数日，暴露了 AI 基础设施在应对新型供应链攻击时的滞后性。

• ▶ 信任锚点的坍塌： 攻击者通过冒充 OpenAI 等顶级机构，利用开发者对知名品牌的心理防御盲区，成功实施了针对性极强的凭证窃取。
• ▶ “模型即代码”的隐患： 传统安全扫描器往往难以穿透复杂的模型权重文件（尤其是 Pickle 格式），使得恶意代码得以在模型加载阶段静默执行。

八卦洞察

此次事件并非偶然，而是 AI 行业“唯速度论”下的必然代价。Hugging Face 作为 AI 界的 GitHub，其核心价值在于极低的分发门槛，但这恰恰为“模型投毒”（Model Poisoning）提供了温床。目前，业界对模型权重的安全审计仍处于“石器时代”。开发者往往只关注模型的 Benchmark 表现，却忽视了加载模型本质上是在运行未经审计的第三方代码。这不仅仅是一个技术漏洞，更是 AI 生态系统在快速扩张中忽视安全闭环的结构性风险。随着企业级 RAG 应用的普及，这类针对开发者凭证的攻击将成为获取企业核心数据资产的新捷径。

行动建议

• 零信任架构： 立即审查并清理生产环境中的 Hugging Face Token，停止使用全权限 Token，强制推行最小权限原则（Scoped Tokens）。
• 格式强制迁移： 内部流程中应明确弃用 Pickle 格式模型，全面转向 Safetensors 格式，从源头上杜绝反序列化攻击。
• 沙箱化运行： 建立标准化的模型预检流程，所有第三方模型在进入核心业务链路前，必须在物理隔离的沙箱环境中进行动态行为监测。