AI-агент взломал Hugging Face — 17 000 автономных действий

Hugging Face сообщила об атаке на свою производственную инфраструктуру, которую провёл автономный AI-агент. Инцидент произошёл в выходные: злоумышленник использовал вредоносный датасет как точку входа, эксплуатировав два независимых уязвимых пути в pipeline обработки данных — удалённую загрузку датасетов и инъекцию шаблонов.

Агентская система выполнила более 17 000 отдельных действий через краткосрочные изолированные среды (sandbox) с самомигрирующей C2-инфраструктурой на публичных сервисах. Hugging Face подтвердила несанкционированный доступ к части внутренних датасетов и кражу учётных данных. Публичные модели, датасеты и пространства Spaces не пострадали, цепочка поставок программного обеспечения также не затронута.

Нестандартным оказался и ход расследования: когда команда безопасности попыталась использовать коммерческие API-модели для криминалистического анализа, те отказали. Guardrails восприняли данные об эксплойтах и атаках как запрещённый контент и заблокировали запросы. Пришлось переключиться на открытую модель GLM 5.2, запущенную на собственных серверах Hugging Face без ограничений — она завершила анализ за часы вместо дней.

Компания уже закрыла уязвимые пути выполнения кода, отозвала доступ атакующего, восстановила скомпрометированные узлы и сменила учётные данные. Всем пользователям платформы рекомендовано незамедлительно обновить токены доступа. Инцидент стал одной из первых задокументированных AI-агентных кибератак промышленного масштаба.