Brèche Hugging Face juillet 2026 : des agents IA autonomes ont dérobé des identifiants en un week-end

Point crucial : Hugging Face n'a trouvé aucune preuve de falsification des modèles, jeux de données ou espaces publics accessibles aux utilisateurs, et la chaîne d'approvisionnement logicielle (images de conteneurs et paquets publiés) est restée intacte . La brèche s'est limitée à un ensemble de jeux de données internes et d'identifiants de service .

Comment l'attaquant a procédé : exploitation des pipelines de jeux de données

L'intrusion a débuté dans le pipeline de traitement de données de Hugging Face . L'attaquant a utilisé un jeu de données malveillant qui exploitait deux voies d'exécution de code :

• Un chargeur de jeux de données à distance permettant l'exécution de code arbitraire.
• Une vulnérabilité d'injection de template dans la configuration du jeu de données .

Une fois l'exécution de code obtenue sur un worker de traitement, l'attaquant a escaladé vers un accès au niveau du nœud, récolté les identifiants cloud et cluster, puis effectué un mouvement latéral vers plusieurs clusters internes .

L'ensemble de la campagne a été orchestré par un framework d'agents autonomes. Bien que le LLM spécifique qui alimentait les agents de l'attaquant reste inconnu, les agents ont opéré à travers un essaim de bacs à sable éphémères avec une structure de commande et de contrôle auto-migrante, hébergée sur des services publics .

Le défi inédit : les garde-fous des LLM commerciaux bloquent les défenseurs

Lorsque l'équipe de sécurité de Hugging Face a commencé à analyser le journal des événements de l'attaquant (plus de 17 000 événements), ils se sont d'abord tournés vers les modèles de pointe derrière les API commerciales. Ces tentatives ont échoué car les garde-fous des fournisseurs ont bloqué l'analyse . Les garde-fous étaient incapables de distinguer un répondant légitime soumettant des charges exploitables et des artefacts de commande et de contrôle d'un véritable attaquant .

Hugging Face a été contraint de basculer l'ensemble de son analyse forensique vers GLM 5.2, un modèle open-weight tournant sur sa propre infrastructure . Cela a eu l'avantage supplémentaire de garantir qu'aucune donnée de l'attaquant ni aucun identifiant référencé ne quittait leur environnement .

« La leçon pratique pour les défenseurs : ayez un modèle capable que vous pouvez exécuter sur votre propre infrastructure, validé et prêt avant un incident, à la fois pour éviter le blocage par les garde-fous et pour empêcher les données et identifiants de l'attaquant de quitter votre environnement. »

L'entreprise a souligné l'asymétrie critique : ils ne savent pas quel modèle alimentait les agents de l'attaquant, mais qu'il s'agisse d'un modèle hébergé jailbreaké ou d'un modèle open-weight sans restriction, « l'attaquant n'était lié par aucune politique d'utilisation, alors que notre propre travail forensique a été bloqué par les garde-fous des modèles hébergés que nous avons d'abord essayés » .

Mesures de réponse prises

Hugging Face a pris les mesures suivantes, détaillées dans leur divulgation d'incident de sécurité :

• Correction de la vulnérabilité racine : les deux voies d'exécution de code utilisées pour l'accès initial ont été fermées.
• Éradication de la présence de l'attaquant dans les clusters affectés et reconstruction des nœuds compromis.
• Révocation et rotation des identifiants et tokens affectés, et début d'une rotation préventive plus large des secrets.
• Déploiement de garde-fous supplémentaires et de contrôles d'admission plus stricts sur leurs clusters.
• Amélioration de la détection et des alertes pour qu'un signal de haute sévérité déclenche une réponse en quelques minutes, quel que soit le jour.
• Engagement de spécialistes externes en cybersécurité forensique pour enquêter et examiner les politiques de sécurité.
• Signalement de l'incident aux forces de l'ordre.

L'entreprise a également recommandé aux membres de la communauté de faire tourner leurs tokens d'accès et de vérifier leur activité récente par précaution .