Злом Hugging Face у липні 2026: автономний ШІ-агент, 17 000 подій та сліпа пляма в обороні

Важливо, що Hugging Face не виявив ознак втручання у публічні, орієнтовані на користувачів моделі, набори даних або Spaces. Ланцюжок постачання програмного забезпечення (контейнерні образи та опубліковані пакети) також залишився неушкодженим . Доступ зловмисника був обмежений набором внутрішніх наборів даних та службових облікових даних .

Як діяв зловмисник: експлуатація конвеєра даних

Вторгнення почалося в конвеєрі обробки даних Hugging Face . Зловмисник використав шкідливий набір даних, який експлуатував два шляхи виконання коду:

• Завантажувач наборів даних з віддаленим кодом, що дозволяє виконувати довільний код.
• Вразливість впровадження шаблону у конфігурації набору даних .

Отримавши можливість виконання коду на робочому вузлі обробки, зловмисник підвищив привілеї до рівня вузла, зібрав облікові дані хмари та кластера, а потім перемістився латерально в кілька внутрішніх кластерів .

Вся кампанія була оркестрована автономним фреймворком агентів. Хоча конкретна мовна модель, що керувала агентами зловмисника, залишається невідомою, агенти діяли через рій ефемерних пісочниць із самомігруючою командно-контрольною структурою, розміщеною на публічних сервісах .

Несподіваний виклик: запобіжники комерційних мовних моделей заблокували захисників

Коли команда безпеки Hugging Face почала аналізувати журнал подій зловмисника (понад 17 000 подій), вони спершу звернулися до передових моделей через комерційні API. Ці спроби провалилися, оскільки запобіжники безпеки провайдерів заблокували аналіз . Запобіжники не змогли відрізнити легітимного фахівця з реагування на інциденти, який аналізує експлойти та артефакти командно-контрольної інфраструктури, від реального зловмисника .

Hugging Face був змушений перевести весь криміналістичний аналіз на GLM 5.2, модель з відкритою вагою, запущену на власній інфраструктурі . Це також мало додаткову перевагу: гарантувало, що жодні дані зловмисника або посилання на облікові дані не покинуть середовище компанії .

«Практичний урок для захисників: майте готову та перевірену модель, яку ви можете запустити на власній інфраструктурі, до початку інциденту — це дозволить уникнути блокування запобіжниками та запобігти витоку даних зловмисника з вашого середовища.»

Компанія наголосила на критичній асиметрії: вони не знають, яка модель керувала агентами зловмисника, але чи то була зламана хостинг-модель, чи необмежена модель з відкритою вагою — «зловмисник не був обмежений жодними політиками використання, тоді як нашу власну криміналістичну роботу заблокували запобіжники хостинг-моделей, які ми спершу використали» .

Вжиті заходи реагування

Hugging Face вжив наступних заходів, детально описаних у їхньому розкритті інциденту безпеки :

• Виправив основну вразливість: два шляхи виконання коду в наборах даних, використані для початкового доступу, були закриті.
• Усунув присутність зловмисника у відповідних кластерах та перебудував скомпрометовані вузли.
• Відкликав та змінив скомпрометовані облікові дані та токени, а також розпочав ширшу превентивну ротацію секретів.
• Впровадив додаткові запобіжники та суворіші контролі допуску до своїх кластерів.
• Покращив виявлення та сповіщення, щоб сигнал високої серйозності надсилав черговому протягом кількох хвилин у будь-який день тижня.
• Залучив зовнішніх фахівців з кібербезпеки для розслідування та перегляду політик безпеки.
• Повідомив про інцидент правоохоронні органи.

Компанія також рекомендувала учасникам спільноти з ротацією змінити будь-які токени доступу та переглянути нещодавню активність облікових записів з міркувань безпеки .