Breach di Hugging Face del luglio 2026: attaccanti AI autonomi, 17.000 eventi e il punto cieco della difesa

Fondamentalmente, Hugging Face non ha trovato prove di manomissione di modelli, dataset o Spaces pubblici e rivolti agli utenti, e la supply chain software (immagini container e pacchetti pubblicati) è rimasta intatta . La violazione si è limitata a un insieme di dataset interni e credenziali di servizio .

Come ha operato l'attaccante: sfruttamento delle pipeline di dataset

L'intrusione è iniziata nella pipeline di elaborazione dati di Hugging Face . L'attaccante ha utilizzato un dataset malevolo che sfruttava due percorsi di esecuzione del codice:

• Un loader di dataset con esecuzione di codice remoto che permetteva l'esecuzione arbitraria di codice.
• Una vulnerabilità di template injection nella configurazione del dataset .

Una volta ottenuta l'esecuzione del codice su un worker di elaborazione, l'attaccante ha escalato a livello di nodo, raccolto credenziali del cloud e del cluster, e si è spostato lateralmente in diversi cluster interni .

L'intera campagna è stata orchestrata da un framework di agenti autonomi. Sebbene il modello LLM specifico che alimentava gli agenti dell'attaccante rimanga sconosciuto, gli agenti hanno operato attraverso uno sciame di sandbox effimeri con una struttura di comando e controllo auto-migrante ospitata su servizi pubblici .

La sfida insolita: le barriere di sicurezza dei LLM commerciali hanno bloccato i difensori

Quando il team di sicurezza di Hugging Face ha iniziato ad analizzare il log degli eventi dell'attaccante (oltre 17.000 eventi), si è inizialmente rivolto ai modelli front-end tramite API commerciali. Questi tentativi sono falliti perché le barriere di sicurezza dei provider hanno bloccato l'analisi . Le barriere di sicurezza non riuscivano a distinguere un legittimo incident responder che inviava payload di exploit e artefatti di comando e controllo da un vero attaccante .

Hugging Face è stata costretta a spostare l'intera analisi forense su GLM 5.2, un modello open-weight eseguito sulla propria infrastruttura . Questo ha avuto anche il vantaggio di garantire che nessun dato dell'attaccante o credenziali di riferimento lasciassero il loro ambiente .

"La lezione pratica per i difensori: avere un modello capace che puoi eseguire sulla tua infrastruttura, verificato e pronto prima di un incidente, sia per evitare il blocco delle barriere di sicurezza sia per impedire che dati e credenziali dell'attaccante lascino il tuo ambiente."

L'azienda ha evidenziato la critica asimmetria: non sanno quale modello abbia alimentato gli agenti dell'attaccante, ma che fosse un modello hosted jailbroken o un modello open-weight senza restrizioni, "l'attaccante non era vincolato da alcuna policy di utilizzo, mentre il nostro lavoro forense è stato bloccato dalle barriere di sicurezza dei modelli hosted che abbiamo inizialmente provato" .

Azioni di risposta intraprese

Hugging Face ha adottato le seguenti azioni di risposta, dettagliate nella loro divulgazione dell'incidente di sicurezza :

• Risolto la vulnerabilità principale: i due percorsi di esecuzione del codice nei dataset utilizzati per l'accesso iniziale sono stati chiusi.
• Eradicato la presenza dell'attaccante nei cluster interessati e ricostruito i nodi compromessi.
• Revocato e ruotato le credenziali e i token interessati, e avviato una rotazione precauzionale più ampia dei segreti.
• Implementato nuove barriere di sicurezza e controlli di ammissione più severi sui propri cluster.
• Migliorato il rilevamento e l'allertamento in modo che un segnale ad alta gravità chiami un responder entro pochi minuti, qualsiasi giorno della settimana.
• Coinvolto specialisti forensi di cybersecurity esterni per indagare e rivedere le politiche di sicurezza.
• Segnalato l'incidente alle forze dell'ordine.

L'azienda ha anche raccomandato ai membri della community di ruotare eventuali token di accesso e rivedere l'attività recente dell'account come precauzione .