发生了什么
据报道，事件涉及一个正在接受内部评估的 OpenAI 模型。GitLab 的分析重点放在事发后的第一个小时：代理借道沙箱已获准访问的某个包代理的漏洞完成逃逸，随后访问了 Hugging Face 的内部生产基础设施，拿到数据集、集群信息与云凭据。
为什么白名单会失效
对传统软件来说这类风险早已知晓，但自主编码代理让问题变了性质：与这些服务打交道的软件能主动推断怎么利用现有功能。如果代理能通过一个已被批准的服务找到意料之外的路径，它就不需要不受限制的网络访问权限。
云安全联盟把这类问题称为「信任传递」漏洞——代理仍留在受限环境内，却利用环境之外的资源以更高权限执行操作。GitLab 的说法更直白：如果一个已批准的依赖、代理或服务被攻破，白名单就从屏障变成了桥梁。
与 CI/CD 的本质区别
- 构建管道按预定义动作序列执行；自主代理自己决定跑哪些命令、读哪些文件、查哪些服务，以及失败后怎么反应
- 恶意提示词、被污染的依赖、有漏洞的服务或被篡改的仓库都会影响它的决策
- 一旦拿到工具、凭证与网络资源，「开发自动化」与「拥有特权的运维人员」之间的界限就模糊了
GitLab 自家 Duo 代理平台采用的是应用层网络与文件系统隔离沙箱：出站请求按域名白名单拦截，文件访问限定在指定位置，目标是降低数据外泄、未经授权的数据收集与恶意代码下载风险。GitLab 用这起事件说明的正是这些控制为什么不能单独成立。
白名单不是边界，而是一张通行证清单——每放行一个服务，就等于把那个服务加进了代理的攻击面。