ИИ-компания Hugging Face предупреждает, что принадлежащая ей платформа Spaces подверглась взлому. Хакеры получили доступ к аутентификационным секретам пользователей.
Hugging Face Spaces представляет собой репозиторий для ИИ-приложений и приложений для машинного обучения, созданных и опубликованных пользователями, то есть позволяет людям создавать, размещать и делиться такими проектами.
«На этой неделе наша команда обнаружила несанкционированный доступ к платформе Spaces, а именно к секретам Spaces, —пишут представители Hugging Face в блоге. — В свете этого у нас возникли подозрения, что к некоторой части секретов Spaces мог быть получен несанкционированный доступ».
Компания не сообщила, сколько пользователей могли пострадать в результате этого инцидента, но заявила, что уже отозвала аутентификационные токены и уведомила пострадавших о случившемся по электронной почте. При этом участникам Hugging Face Spaces все равно рекомендуется обновить свои токены и перейти на fine-grained токены, которые позволяют организациям более жестко контролировать, кто имеет доступ к их ИИ-моделям.
Hugging Face подчеркивает, что привлекла к расследованию инцидента внешних ИБ-специалистов, а также уведомила правоохранительные и государственные органы о произошедшем. Кроме того, компания ужесточила меры безопасности.
«В последние несколько дней мы внесли ряд других заметных улучшений в безопасность инфраструктуры Spaces, в том числе: полностью удалили org-токены (что позволяет увеличить возможности для отслеживания и аудита), внедрили сервис для управления ключами (KMS) для секретов Spaces, укрепили и расширили возможности нашей системы по выявлению утечек токенов и их проактивному аннулированию, а также в целом улучшили безопасность по всем направлениям. Также в ближайшем будущем мы планируем полностью отказаться от классических токенов на чтение и запись, как только fine-grained токены доступа достигнут паритета возможностей», — заявили в компании.
