В конце прошлой недели представители Hugging Face сообщили о взломе продакшн-инфраструктуры платформы. Атакующие получили доступ к части внутренних датасетов и похитили учетные данные для облачных сервисов и кластеров. По данным компании, атаку провела система автономных ИИ-агентов, выполнившая тысячи действий практически без участия человека.
В компании объясняют, точкой входа для злоумышленников послужил вредоносный датасет, загруженный на платформу. Атакующие использовали два бага в пайплайне обработки данных: один позволял внедрить вредоносный код в шаблон, который сервис применял при разборе конфигурации датасета, а второй представлял собой небезопасный загрузчик, допускавший выполнение удаленного кода. В итоге хакеры добились выполнения кода на одном из воркеров пайплайна, получили доступ на уровне узла, собрали учетные данные облачной инфраструктуры и кластеров, а затем проникли в несколько внутренних кластеров.
При этом в Hugging Face описывают эту атаку как работу автономного агентного фреймворка. По словам специалистов, он выполнил «тысячи отдельных операций», распределяя их между множеством временных песочниц, которые создавались на короткое время и затем удалялись. В свою очередь, управляющая инфраструктура мигрировала между публичными сервисами.
Какую именно LLM использовали атакующие, пока установить не удалось. Считается, что это могла быть как взломанная облачная модель, так и модель с открытыми весами, не имеющая ограничений.
В компании полагают, что инцидент соответствует давно обсуждаемому сценарию «агентной атаки», в рамках которого ИИ самостоятельно исследует инфраструктуру, эксплуатирует уязвимости и развивает атаку.
Атаку помогла выявить собственная система Hugging Face, предназначенная для обнаружения аномалий. Для анализа логов специалисты сначала пытались использовать одну из коммерческих ИИ-моделей, однако ее защитные механизмы блокировали запросы с реальными командами, эксплоитами и C2-артефактами. В итоге форензику осуществляли с помощью локально запущенной китайской модели Z.ai GLM 5.2 с открытыми весами, что также позволило не передавать логи и похищенные учетные данные на серверы стороннего ИИ-провайдера.
После обнаружения взлома специалисты проекта закрыли обе уязвимости, приводившие к выполнению кода, отключили атакующих, пересобрали скомпрометированные узлы и отозвали скомпрометированные ключи и токены. Также в Hugging Face провели ротацию секретов, ужесточили правила доступа в кластеры и доработали мониторинг, чтобы обнаруживать новые атаки в течение нескольких минут.
К расследованию инцидента уже привлекли внешних ИБ-специалистов, а также о случившемся уведомили правоохранительные органы.
В настоящее время не обнаружено свидетельств того, что хакеры изменяли публичные модели, датасеты или Spaces. Цепочку поставок ПО тоже проверили и не нашли признаков компрометации. Однако расследование еще продолжается, и пока неясно, затронула ли атака данные клиентов и партнеров Hugging Face.
Всем пользователям платформы рекомендуют сменить токены доступа и проверить недавнюю активность в аккаунтах. Кроме того, в Hugging Face советуют всем заранее подготовить модель, которую можно запускать внутри собственной инфраструктуры, так как во время реального инцидента ограничения облачных LLM могут помешать расследованию, а загрузка логов во внешний сервис создаст дополнительные риски.
