Hugging Face взломан автономным AI-агентом через вредоносный датасет

Крупнейший в мире репозиторий AI-моделей Hugging Face был взломан автономным AI-агентом, который использовал вредоносный датасет, чтобы добраться до production-инфраструктуры. Платформа открытого ИИ сообщила, что на прошлой неделе обнаружила и сдержала инцидент против production-систем после несанкционированного доступа к ограниченному набору внутренних датасетов и нескольким учётным данным сервисов.

Следователи не нашли доказательств, что AI-агент вмешивался в публичные, пользовательские модели, датасеты или Spaces, либо в собственную цепочку поставки ПО Hugging Face. Вторжение началось в конвейере обработки данных: вредоносный датасет эксплуатировал два пути выполнения кода — загрузчик датасета с удалённым кодом и инъекцию шаблона в конфигурации датасета — чтобы запустить код на processing worker. Оттуда злоумышленник повысил привилегии до уровня узла, собрал облачные и кластерные credentials и за выходные переместился латерально в несколько внутренних кластеров.

Точная большая языковая модель, стоящая за кампанией, по-прежнему неизвестна. Hugging Face описал автономный agent framework, выполнивший многие тысячи отдельных действий в рое короткоживущих песочниц, с самомигрирующим command-and-control на публичных сервисах. Компания закрыла пути выполнения кода, использованные для начального доступа, и завершила remediation: устранила foothold и пересобрала скомпрометированные узлы, ротировала затронутые credentials и секреты шире, добавила guardrails и admission controls в кластерах и улучшила круглосуточное обнаружение, чтобы responders получали оповещение за минуты. Клиентам рекомендуют ротировать access tokens и проверить недавнюю активность аккаунта.

Форензика также выявила слепую зону защиты. Западные frontier-модели отклоняли запросы с реальными attack commands, exploit payloads и C2-артефактами, потому что safety guardrails не отличали атакующего от легитимного incident response. Hugging Face для анализа использовал open-weight модель Z.ai GLM 5.2 и советует защитникам заранее иметь способную on-prem модель — чтобы избежать guardrail lockout и не выпускать данные атакующего за пределы своей среды. Подробнее: отчёт The Hacker News о взломе Hugging Face.