在开源AI生态里，Hugging Face是个很难忽略的角色。数百万个模型、数据集和应用托管在这里，开发者能随意下载、微调、再分发。可这位高管近日提醒，针对开放AI平台的网络攻击在增加；照这个势头下去，平台可能被迫加上更严的安全限制。最先被牺牲的，恐怕就是那种让开源社区对全球开发者有价值的“可及性”。
出面警告的是Hugging Face全球政策负责人艾琳·索拉伊曼（Irene Solaiman）。她的担心有现实依据：一个平台同时承担模型分发、代码托管、社区协作三件事，它推动创新，同时也是攻击者盯上的高价值目标。
安全成本，正被转嫁给“开放”
开放AI平台的吸引力就在门槛低：注册一个账号就能上传模型，点一下就能下载权重文件。学术机构、初创团队、资源有限地区的开发者因此能参与前沿技术。问题是，平台也几乎没法对每份上传内容做深度审计。
索拉伊曼担心的链条并不复杂：攻击事件变多，监管和用户压力跟着上来，平台被迫引入更严的身份验证、上传审查和访问控制；这些措施一叠加，开放的边界就往里收。
她表示，开源AI生态最宝贵的资产，是任何人都能平等获取、检查与验证的能力；一旦每起安全事件都靠“关上一扇门”来应对，这份资产就会一点点流失。
开源AI的攻击面究竟有多大
跟传统软件供应链比，AI模型分发的风险藏得更深。模型权重通常以序列化格式打包，恶意构造的文件可能在加载那一刻就跑起代码；模型本身也可能被埋后门，碰到特定触发词就输出异常；数据集投毒更难发现，影响会顺着下游微调链条一路扩散。过去两年，安全研究团队已经在公开模型库里发现过带恶意载荷的模型，也多次披露模型扫描工具被绕过的手法。
智能体（Agent）流行起来后，风险又往外溢了一层：模型不只是被动吐文本，还能调用工具、读写文件、访问网络。一个被污染的模型，可能变成钻进企业内网的跳板。
“开源”的定义本就处于灰色地带
这场讨论还夹着一层概念之争。业界对“开源AI”有没有统一定义，长期谈不拢：只公开权重，算不算开源？训练数据、代码和许可条款要不要一起公开？平台为安全搞“门控式”访问，比如要求登录、申请或遵守使用限制，这到底是在管风险，还是在稀释开放？
对Hugging Face这类平台来说，麻烦在于它同时面对两拨诉求相反的人：安全团队想要更严的审查和可追溯性，研究社区则怕任何 gatekeeping 都变成事实上的准入壁垒。
收紧的代价：谁会被挡在门外
值得注意的是，安全措施的成本往往不是大家平摊。大型实验室有能力自建托管和审计流程，真正受影响的更多是个人开发者、小型研究团队，以及算力和合规资源有限地区的用户。开放平台要是逐步走向“实名+审核+限流”，开源AI可能从“人人可用”退成“有条件可用”，创新的多样性也会跟着收窄。
中间路线其实有。更安全的模型序列化格式、制品签名与来源追溯、自动化恶意文件扫描、社区举报与快速下架机制，还有在不阻断获取的前提下提高透明度。这些方案有个共同前提：安全投入该由平台和生态一起扛，而不是一关了之。
编者按
索拉伊曼的警告，说到底是在把技术问题还原成治理问题：开放不是天生就有的状态，而是一项需要持续投入维护的公共品。攻击成本降下来、攻击面铺开来，如果安全基础设施和責任分配跟不上，开放就会成为最先被砍掉的开支。对开源AI来说，真正的考验不是能不能挡住某一次攻击，而是防守的同时，能不能保住让这个生态值得存在的准入平等。
