Hugging Face證實遭AI代理入侵:竊取憑證並橫向移動至多個內部叢集
根據科技新報與iThome報導,Hugging Face證實生產環境於2026年7月16日遭自主AI代理入侵,攻擊者透過2條被濫用的程式執行路徑竊取憑證,並在單一週末內橫向移動至多個內部叢集,留下逾17,000筆事件紀錄,目前未發現模型或供應鏈遭竄改跡象。
根據經濟日報報導,2026年7月17日美股受晶片股拋售潮拖累持續走跌,「以科技股為主的那斯達克指數下跌1.4%,標普500指數也下跌1%」(E1)。同一篇報導指出,費城半導體指數當天同步下跌1.6%(E3),顯示賣壓集中在半導體相關類股。值得注意的是,即便經歷本輪重挫,費城半導體指數「今年以來的漲幅仍超過60%」(E5),顯示這波下跌是發生在一段大幅上漲之後的回檔,而非指數轉為全年下跌。
費城半導體指數的跌勢在本週明顯加劇。根據經濟日報報導,該指數「今天下跌1.6%,本週累計挫跌約10%,創下一年多來最大單週跌幅」(E3);報導進一步指出,「費城半導體指數今天收盤時,較6月底創下的歷史高點下挫逾20%,確認費城半導體指數已進入熊市」(E3)。中央社的報導同步證實了這組數據——「費城半導體指數今天下跌1.6%,本週累計挫跌約10%……確認費城半導體指數已進入熊市」(E12),顯示兩家媒體對同一事實的描述一致。
綜合上述數據可整理如下:
| 指標 | 數值 | 說明 | 對應證據 |
|---|---|---|---|
| 那斯達克指數(單日) | -1.4% | 2026/7/17收盤 | E1 |
| 標普500指數(單日) | -1% | 2026/7/17收盤 | E1 |
| 費城半導體指數(單日) | -1.6% | 2026/7/17收盤 | E3、E12 |
| 費城半導體指數(本週累計) | 約-10% | 逾一年來最大單週跌幅 | E3、E12 |
| 費城半導體指數(自6月底高點) | -20%以上 | 確認進入熊市 | E3、E12 |
| 費城半導體指數(今年以來) | +60%以上 | 年內漲幅仍為正 | E5 |
這波賣壓並非僅限於美股。經濟日報引述指出,「韓國綜合股價指數(KOSPI)顯示上週已陷入熊市,儘管今年以來漲幅已達到近62%;日本日經225指數17日落入修正區間;而歐洲科技類股在6月創下自2001年以來最大的單季漲幅後,也成為本週表現最差的板塊之一」(E8)。與美股費城半導體指數「本週累計跌約10%、自高點下挫逾20%」的走勢(E3)對照,可以看出這是一波跨市場、跨地區同步出現的科技股修正,且KOSPI同樣是在年內大漲後才轉入熊市,模式與費城半導體指數相近。
中國AI新創公司帶來的競爭訊號,被指與這波拋售有關。經濟日報報導,「中國新創公司『月之暗面』(Moonshot AI)發表最新AI模型Kimi K3,號稱性能已追上美國一些最先進AI模型,進一步加深投資人對人工智慧龐大資本支出是否值得的憂慮,也導致英特爾(Intel)、應用材料(Applied Materials)和超微(AMD)等股價走低」(E2)。中央社的報導同步記載了同一事件(E13),顯示這是被兩家媒體共同關注的市場觸發點。
除了中國業者的模型進展,AI供給端也出現另一則延遲訊號。經濟日報引述彭博報導指出,「Alphabet旗下的谷歌(Google)在推出功能最強大的旗艦AI模型Gemini 3.5 Pro時程上,已落後預定進度好幾個月」(E7)。Kimi K3的性能宣稱與Gemini 3.5 Pro的進度延誤,兩則消息在同一時間點被市場解讀為AI競賽格局出現變化的訊號。
分析師對這波下跌的成因看法方向一致,均指向「非基本面惡化」。BRI財富管理投資主管梅多斯(Toni Meadows)表示:「這次回檔反映獲利了結,以及外界放大檢視AI資本支出的可持續性。半導體類股的估值先前已把近乎完美的需求反映進去,這個產業過去具有景氣循環特性,因此在經歷如此快速上漲後,相關類股容易在某個時間點面臨修正」(E4)。
地平線投資服務執行長卡爾森(Chuck Carlson)的評論更直接:「我認為這跟基本面沒有太大關係,主要只是投資組合的重新調整,以及一些漲幅過大的股票進行獲利了結」(E6)。兩位分析師的用語不同,但共同指向「獲利了結」是核心關鍵字,而非產業需求本身出現問題。
除了獲利了結的解讀,市場結構性槓桿問題也被提出示警。高盛集團(Goldman Sachs)負責對沖基金的主管帕斯夸里洛(Tony Pasquariello)在報告中指出:「市場各處可見槓桿累積的現象,從散戶融資金額增加、槓桿型ETF的資產管理規模成長,以及短天期選擇權的交易量攀升可見端倪」(E9)。
格林伍德資本公司投資長陶德(Walter Todd)的警告更為具體:「大家在這些股票的布局過度擴張了。過去幾個月,許多人都以為這些股票只會上漲。如果當初他們是借錢買進,現在可能面臨被迫追繳保證金的窘境」(E10)。這段評論將散戶融資、槓桿型ETF與短天期選擇權交易量的攀升(E9),與「借錢買進AI股票、可能被追繳保證金」的具體風險(E10)連結在一起,指出下跌若持續,槓桿部位可能面臨進一步的強制平倉壓力。
將前文證據並列可看出一組張力:費城半導體指數今年以來漲幅仍超過60%(E5),但本週卻以10%的單週跌幅、逾20%的自高點回落幅度確認進入熊市(E3、E12),且這種「先大漲、後熊市」的模式同樣出現在KOSPI身上(E8)。分析師梅多斯與卡爾森都將這波下跌歸因於獲利了結而非基本面惡化(E4、E6),但高盛與格林伍德資本點出的融資、槓桿型ETF與短天期選擇權交易量攀升等結構性訊號(E9、E10),意味著即便下跌起點是「獲利了結」,一旦伴隨槓桿部位被迫平倉,跌勢的延續性就未必只取決於基本面。與此同時,Moonshot AI的Kimi K3與Google Gemini 3.5 Pro的進度延誤(E2、E13、E7)顯示,AI供給端格局本身也在同一週出現變化,為「AI資本支出是否值得」的市場疑慮提供了具體的觸發背景。

根據經濟日報與中央社報導,費城半導體指數當日下跌1.6%,本週累計挫跌約10%,創下一年多來最大單週跌幅,較6月底歷史高點下挫逾20%,已確認進入熊市。
地平線投資服務執行長卡爾森表示這與基本面關係不大,主要是投資組合重新調整與獲利了結;BRI財富管理投資主管梅多斯則指出,這反映獲利了結以及外界對AI資本支出可持續性的放大檢視。
高盛集團主管帕斯夸里洛指出,散戶融資金額增加、槓桿型ETF資產管理規模成長、短天期選擇權交易量攀升,都是槓桿累積的跡象;格林伍德資本投資長陶德則警告,若投資人借錢買進AI股票,可能面臨被迫追繳保證金的情況。
根據科技新報與iThome報導,Hugging Face證實生產環境於2026年7月16日遭自主AI代理入侵,攻擊者透過2條被濫用的程式執行路徑竊取憑證,並在單一週末內橫向移動至多個內部叢集,留下逾17,000筆事件紀錄,目前未發現模型或供應鏈遭竄改跡象。
根據The Verge與iThome報導,1Password與Anthropic合作推出「1Password for Claude」瀏覽器整合功能。1Password表示,新開發的「零暴露安全框架」以安全通道注入憑證,密碼與一次性驗證碼不會進入Claude的上下文,使用者可用生物辨識核准存取請求。
根據The Verge與iThome報導,歐盟執委會依DMA於7月16日對Google發布兩項具法律約束力決定,要求開放Android的AI互通功能並分享匿名化搜尋資料;Google須於2027年1月起分享搜尋資料、7月前完成Android變更,否則最高可處全球年營業額10%罰款。