【Tailscale复盘Hugging Face遭AI入侵：当防御者开始为“非我之过”道歉】近日Hugging Face遭AI Agent入侵，攻击者利用窃取的Tailscale长期密钥在内网横向移动并注册了181个节点。Tailscale CEO随后发表深度复盘，承认虽然产品本身无漏洞且入侵源于用户密钥管理不当，但作为安全工具，未能通过更优的默认配置和防御机制阻止此类“合法入侵”是公司的失职，并承诺将推动工作负载身份联邦等更安全的默认方案。这篇复盘是极高明的公关，也是对AI时代安全边界的深思：当AI Agent能以人类百倍的速度扫描并利用凭证时，传统的“长期密钥”已成为基础设施的定时炸弹。社区对此评价两极，支持者认为这种“接锅”态度体现了安全厂商的担当，尤其是提出“让安全路径成为最易路径”的逻辑直戳行业痛点；质疑者则认为这不过是借机推销其OAuth和身份联邦功能的“高级广告”。但不可否认，这标志着安全责任的演进——工具不仅要好用，还必须在用户犯错时具备“兜底”的直觉。 tailscale.com/blog/hugging-face-intrusion