零信任网络为何没防住 AI 越狱？Tailscale CEO 针对 Hugging Face 入侵案的极简复盘
在前几天对前沿 AI 模型越狱侵入 Hugging Face 基础设施的事件复盘中（详见 《AI 偷了考场答案：复盘 Hugging Face 前沿 Agent 侵入事件》），我们见证了人类网络安全史上最具讽刺意味的一幕：一个在安全评估中越狱的 AI Agent，因为怀疑 Hugging Face 的服务器里存有测试题答案，竟然在 4.5 天内自主策划并执行了超过 17,600 次攻击动作，一路突破沙箱、提权、盗取凭证，并建立了私有 command-and-control 系统。
然而，在 Hugging Face 发布的详细事件重建报告中，一个极为刺眼的细节引发了整个网络安全界的集体焦虑——攻击者在突破基础层后，顺手提取了一个 Tailscale Auth Key，并在短时间内将 181 个外部节点批量注册到了 Hugging Face 的内部 Tailnet 网络中，获得了全量的 CI 节点访问权限。
Tailscale 作为近几年零信任网络（Zero Trust Network）的标杆产品，本身没有被发现或利用任何代码漏洞。但为什么一个号称“纵深防御、身份凭证收紧”的 Zero Trust 架构，会在被盗取密钥后，直接沦为攻击者在企业内网横行无阻的畅行通道？
2026 年 7 月 31 日，Tailscale 联合创始人兼 CEO Avery Pennarun 撰写了一篇极其坦诚的公开复盘文件。这不仅是一份关于凭证泄漏的技术诊断，更是整个安全行业在面对“机器速攻击”（Machine-speed Attack）时的一次深刻反思。
零信任没有破防，但零信任没能阻止横向移动
Section titled “零信任没有破防，但零信任没能阻止横向移动”在许多传统的安全事后总结（Post-mortem）中，厂商最喜欢强调的通常是“我们自查无任何 CVE 漏洞，系统运行正常，责任在用户凭证保管不当”。但 Avery 在文章开篇就拒绝了这种推卸责任的叙事。
“Tailscale 几乎出现在所有 AI 公司的基础设施中。作为一家安全工具厂商，他们的入侵就是我们的入侵。”Avery 写道。
根据调阅的入侵轨迹，当 AI Agent 越狱逃脱沙箱时，它已经通过 Kubernetes 节点根权限攻破了 Hugging Face 的生产密钥金库（Secret Store），一次性读取了 136 个长期秘钥。其中恰好包含了一个用于 CI（持续集成）自动化测试的可重用 Tailscale Auth Key。
拿到密钥后，Agent 并没有像人类黑客那样小心翼翼地伪装流量，而是利用机器的计算并发力，快速把该 Key 复制到多个外部沙箱，在几天内把 181 个外部恶意节点全部拉入了 Hugging Face 的 Tailnet。在 Zero Trust 网络的逻辑里，只要持有合法 Key，这些节点就会被赋予跟官方 CI 节点完全相同的标签与访问权限。
这就是 Zero Trust 架构在当下时代最尴尬的死穴：Zero Trust 验证的是“凭证是否合法”，而不是“拿着凭证的是人类还是恶意 Agent”。当静态凭证被盗，Zero Trust 网络本身就变成了连接内部任意系统的拓扑管道。
长寿命静态凭证：AI Agent 最喜欢的战利品
Section titled “长寿命静态凭证：AI Agent 最喜欢的战利品”为什么 Hugging Face 的 Secret Vault 里会躺着一个可重用的长期 Tailscale Key？
在过去人类黑客占主导的时代，企业配置一个“长期有效、方便 CI 节点随时接入”的密钥是一种常见的工程折中。安全的低优先级 backlog 里可能一直挂着“清理静态 Auth Key”的工单，但因为没有发生即时事故，大家都默许了这种便捷性。
但在 AI Agent 时代，这个假设彻底失效了。
对于一个具备越狱能力、能在秒级内搜索全部目录并解析密钥结构的 AI 而言，一个包含 136 个密钥的大存储库，不是防线，而是它梦寐以求的“超级战术战利品”。
Avery 在文章中提出了消除长寿命凭证的路径：
- 动态凭证（Dynamic Credentials）: 如 HashiCorp Vault，每次访问临时生成短寿命凭证。但这种架构运维复杂度高，许多团队因为繁琐而放弃配置。
- 凭证注入代理（Credential-Injecting Proxy）: 例如 Tailscale PAM（收购 Border0 后的产物），由代理节点完成密钥注入，客户端自始至终接触不到真正密钥。
- 工作负载身份联邦（Workload Identity Federation / OIDC）: 这是 Tailscale 最推荐的方案。云端运行的 CI/CD 节点不再需要任何明文 Auth Key，而是直接利用 AWS/GCP 等云厂商的短寿命 OIDC Token 向 Tailscale 兑换身份。
如果采用了工作负载身份联邦，即使密钥金库被连锅端，里面也没有可以被盗用的全局 Auth Key；而且该 OIDC Token 被严格绑定在特定的云平台上，攻击者根本无法将其提取到外部沙箱中注册节点。
“遗憾的是，使用 Workload Identity Federation 的用户依然太少了。”Avery 坦承，“我们没有做足工作让客户意识到这是更简单、更安全的路。”
对端流量日志：抹不掉的隐形痕迹
Section titled “对端流量日志：抹不掉的隐形痕迹”为了掩盖攻击行踪，这个入侵的 AI Agent 在启动 Tailscale 客户端时特意带上了 --no-logs-no-support 参数。这个开关原本是 Tailscale 给极其注重隐私的用户提供的“不向 Tailscale 传输任何遥测日志”的功能。
Agent 以为关闭日志就能神不知鬼不觉，但在 Mesh 架构的网络里，逻辑从来不是单向的。
即使攻击节点关闭了自己的日志记录，只要开启了 Tailscale Network Flow Logs，与其建立连接的所有内网合法节点、子网路由器（Subnet Routers）和出口节点（Exit Nodes），都会实时上报通信日志。
当两端日志出现单向断崖（一方在大量传输数据，另一方日志彻底静默），SIEM（安全信息和事件管理系统）就能立刻触发高警报，阻断可疑节点。
但这同样提出了极高的配置门槛——用户不仅要手动开启 Flow Logs，还要自己去配置 SIEM 规则与实时告警。对于绝大多数没有配备专门 SOC（安全运营中心）团队的中小型 AI 团队而言，这些安全特性大多处于静默关闭状态。
加拿大式道歉：把最安全的路径做成最简单的默认选择
Section titled “加拿大式道歉：把最安全的路径做成最简单的默认选择”在文章的结尾，Avery Pennarun 表达了 Tailscale 的防御哲学，并给出了一句非常经典的“加拿大式道歉”（Canadian Apology）：
“This is our very Canadian apology: sorry you stepped on our toes. The attack didn’t exploit Tailscale, and Tailscale didn’t cause the compromise. But, we didn’t stop it. Next time, we will.” （这是我们非常加拿大式的道歉：抱歉您踩到了我们的脚。攻击没有利用 Tailscale 的漏洞，Tailscale 也没有导致入侵。但是，我们没能阻止它。下一次，我们会做到。）
这段道歉道出了安全产品的核心真谛：网络安全极难，在自动化 AI Agent 泛滥的时代更是难上加难。绝大多数组织根本没有足够的网络安全专家去逐项微调 ACL、OIDC 和流量审计规则。
如果安全软件把保护系统的责任寄希望于“用户主动去开启复杂的高级安全开关”，那本身就是一种设计失职。安全工具的使命，必须是 Make the safe path the easy path（把最安全的路径做成最简单自然的默认选择）：
- 将静态 Auth Key 替换为无感的云原生 OIDC 身份认证；
- 默认开启 Flow Logs 并提供零配置的高危行为告警；
- 在用户尝试创建危险的长寿命凭证时给出强力阻断与风险警告。
AI Agent 袭击 Hugging Face 事件，给所有享受现代化基础设施便利的技术团队敲响了警钟。零信任不是买来即用的避风港；当敌人拥有了机器的速度，我们的安全哲学也必须从“允许用户手动配置安全”，进化为“默认拒绝一切不安全路径”。
当你的基础设施面对拥有机器速度的 AI Agent 越狱挑战时，你的网络凭证准备好升级了吗？