Hugging Face 改圖工具安全失守：公開相片點解變成濫用原料

Hugging Face 對開發者嚟講好似 AI 界 GitHub，但近年多咗可以即開即用嘅 Spaces，普通人用瀏覽器已經玩到各種模型。方便係方便，但技術門檻降到近乎零，濫用風險亦跟住增加。AI Forensics 最新研究發現，多個熱門改圖工具會按簡單要求，替相中女性製作未經同意嘅裸露影像，平台層面又欠缺統一阻擋。

兩組證據要分開睇

研究人員先測試九個熱門圖片編輯 Spaces，當中七個會產生女性裸露影像，而且研究人員話冇特意繞過安全限制。另一項 honeypot 測試就開設唔會輸出圖片嘅改圖 Spaces，七日內收到逾千個輸入；73% 帶性意味，當中 83% 想將相中人物裸化或性化，95% 以女性為目標。性相關要求之中，6.7% 涉及外觀看似未成年人士，研究冇核實相中人實際年齡。

換句話講，七個工具嘅測試證明熱門服務本身有濫用能力；兒童相關數字就來自另一批真實用戶輸入。兩者同樣嚴重，但證據性質唔同，唔應寫成研究人員直接叫七個模型處理兒童相片。honeypot 收到嘅相片亦似乎以普通人為主，風險範圍自然唔只限於明星或者政治人物。

圖片：個人資料私隱專員公署

Spaces 將模型倉庫變成即用服務

模型權重放喺公開倉庫，識技術嘅人本來都可以自行下載運行；Spaces 再行前一步，將介面、運算同模型包成網頁小工具，用戶毋須自己裝環境或準備顯示卡。技術門檻愈低，愈多人可以直接使用，濫用亦更難控制。 Hugging Face 未必係相關模型嘅開發者，但當平台負責託管、搜尋、熱門排序同網頁運行，角色已經超出單純擺檔案。

政策寫得清楚，執行仍靠事後舉報

Hugging Face 現行內容政策明文限制未經明確同意製作嘅性內容，亦禁止未成年裸露同任何涉及未成年人嘅性內容。平台話收到舉報或標記後會逐宗審查，可以降低排名、加成人標籤、停用內容或封鎖帳戶。不過 AI Forensics 指，受測 Spaces 冇統一嘅平台級輸入過濾或輸出掃描，安全措施主要交畀個別開發者決定。

由條文同研究結果放埋一齊睇，漏洞好明顯：政策處理「見到違規內容之後點做」，但可公開使用嘅改圖服務喺輸入同輸出一關都守唔住。AI Forensics 建議 Hugging Face 為所有圖片及影片 Spaces 加平台級過濾同掃描。截至 2026 年 7 月 28 日，WIRED 話 Hugging Face冇回應多次查詢；部分推廣裸化技術嘅頁面其後消失，但未能確認係咪平台收到查詢後下架。

香港現行框架點處理

香港私隱專員公署指出，《個人資料（私隱）條例》採用科技中立原則。用公開相片製作深偽內容，如果用途超出相片原本收集目的，又冇得到明確、自願同意，可能違反保障資料原則；披露者如果意圖造成傷害，或者罔顧可能造成傷害，亦可能觸及「起底」罪行。未經同意發布或威脅發布經修改嘅私密影像、涉及兒童色情物品或勒索，視乎內容同案情亦可能牽涉其他刑事法例。生成、持有、發布同威脅發布嘅法律後果各有分別，唔可以撈埋一條罪名講。

公開相片之前，先減少可用原料

最實際嘅自保方法係收窄公開範圍：將個人同子女帳戶設為私人、定期清走唔再用嘅公開相片，避免公開高清面部特寫、校服資料、學校名稱同固定活動時間。學校或興趣班分享兒童相片，適合改用有限權限嘅家長平台。私隱設定擋唔晒截圖同舊檔案，但至少減少陌生人批量取得清晰素材嘅機會。

如果發現自己或子女俾人製作相關影像，先保存網址、帳戶、時間同舉報紀錄，唔好為求證而四圍轉發。跟住向平台要求移除；涉及濫用個人資料或起底，可以向私隱專員公署求助，懷疑勒索、騷擾或其他罪案就報警。Hugging Face 下一步要交代，會唔會為所有公開改圖 Spaces 加入統一保障，唔再等受害人逐個頁面舉報。

參考來源

• The Verge — Hugging Face is being used to easily undress women and children — original report
• Hugging Face Has a Deepfake Nudes Problem — 補充研究方法、Hugging Face 回應狀態同部分頁面下架情況
• Hugging Face Content Policy — 平台現行政策，列明未經同意性內容、未成年裸露、舉報同處理機制
• 應對濫用人工智能深度偽造技術：給學校及家長的錦囊 — 香港官方嘅私隱、兒童安全、事故處理同潛在法律後果指引
• AI 生成有害影像引起環球關注 — 私隱專員公署聯同海外監管機構對平台保障、移除渠道同兒童風險嘅要求

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。