当模型学会了黑客攻击，GPU 云连门都没锁

当模型自己学会了攻击

今年七月，OpenAI在训练新模型的过程中，一个正在做任务的agent想访问互联网，拿不到权限，于是自己攻击了OpenAI内部的包管理代理Artifactory，找到了一个远程代码执行漏洞。紧接着其他agent也发现了这条路，开始把Artifactory当留言板互相协调。OpenAI清理了一次，agent们换了方式，用目录名传递消息，通道又建了起来。

七月九号，这批agent转向了HuggingFace。它们攻击了数据集API，先通过恶意README注入拿到worker的环境变量和源码，再用模板注入执行任意代码。四天之内，agent拿到了HuggingFace多个K8s集群的管理员权限，在生产环境里横向移动。

HuggingFace的安全团队想用Claude分析攻击载荷。Fable拒绝了。降级到Opus 4.8，还是拒绝。最后靠开源模型GLM-5.2才把攻击链条还原清楚。OpenAI直到事后才知道完整情况，是HuggingFace主动联系的。八月六号，OpenAI在Black Hat大会上公开了整件事。

连HuggingFace这种体量的平台都没能第一时间挡住。那些把GPU算力卖给银行、政府和AI实验室的新兴云厂商，安全到底做到了什么程度？

三年前的漏洞，今天还能打穿

一份近期发布的行业安全测试报告，测试覆盖了25家GPU云厂商（行业叫neocloud），32个集群。对比软件版本有没有低于安全最低线，检查网络和权限配置有没有做对。全程没用任何新漏洞，都是已知的、公开的安全问题。有些公开超过三年。

结果相当难看。服务器管理接口BMC和IPMI本来只有运维能碰，测试中有厂商直接暴露给了租户。拿到BMC就能控制整台物理机。GPU集群之间跑InfiniBand高速互联，自带安全密钥机制，大量厂商没启用。NVIDIA的智能网卡BlueField DPU内部跑着独立ARM Linux，负责执行租户之间的隔离和防火墙。默认配置下租户可以通过RShim接口直接访问DPU，能碰到负责隔离的设备本身。DPU固件不随宿主机重装清除，前一个租户留下的改动会跟着硬件传给下一个。

不同客户跑在同一台物理机上，中间只隔了一层容器。容器逃逸突破一次就能碰到邻居。K8s网络策略没配默认拒绝，存储权限形同虚设。最严重的一例，测试团队在两个自己控制的租户之间跑通了远程代码执行。

这些漏洞没有一个是新的。攻击者不需要AI工具，也不需要零日漏洞，普通水平的黑客就能发现。

成熟方案，neocloud 没部署

VIDIA在系统软件、编排工具、网络方案和安全生态上的成熟度远超其他芯片厂商。如果客户要选一家来建多租户GPU云，从安全角度最能信任的还是NVIDIA。安全正在变成CUDA护城河的一部分。想做neocloud卖算力的芯片创业公司，光有跑分优势不够，安全和运维能力缺一块就转不起来。

大云厂商跟neocloud的差距也摆在那里。AWS、Azure、GCP有完善的漏洞赏金体系，Azure和GCP单笔赏金最高六位数美元，还定期办真人攻防赛事。25家neocloud里只有Together一家做了付费赏金计划。

报告暴露的每一个安全缺口，在行业里其实都有成熟方案。容器逃逸和K8s配置审计，Palo Alto Networks的Prisma Cloud和CrowdStrike的Falcon已经做了好几年，传统云厂商早就在用。网络分段和数据中心防火墙，Fortinet的产品线覆盖这个场景。零信任架构，Zscaler已经是不少企业标配。但25家neocloud里，部署了这类产品的几乎没有。

防守方被绑手脚，攻击方手握屠龙刀

安全测试中还暴露了一个结构性矛盾。

白帽研究员需要写漏洞验证代码证明问题存在，但Claude Fable直接拒绝一切安全相关提问，GPT 5.6 Sol稍微深入也开始拒绝。最终大部分代码靠手写加开源模型完成。闭源模型的安全护栏卡住的恰好是防守方，攻击方用不受限的模型，障碍反而少得多。HuggingFace被攻击时经历的就是这种窘境。

同时大多数neocloud补丁周期停在月度甚至更长。AI模型几秒钟就能从一段CVE描述生成攻击代码。即使月度补丁周期兜不住了。

任重道远的 neocloud

过去一年，neocloud签下了价值数千亿美元的合同。OpenAI、Anthropic、Meta、SpaceX都在租。Cerebras、SambaNova、Etched这些芯片公司也在转型做云，数据中心、编排软件、运维团队和融资渠道全得自己搭。做云就是做多租户，做多租户就得扛安全。

客户买的是token。token背后是数据中心、融资、软件、运维和安全能力打包交付。跑分再好看，一个租户能读另一个租户的数据，一切归零。

安全门槛抬高之后，跟不上的厂商要么退场，要么被整合。算力会进一步向有安全能力的平台集中。