Hugging Face потвърди пробив: AI агент е хакнал инфраструктурата ѝ

Hugging Face — платформата №1 за споделяне на AI модели и набори от данни — потвърди в понеделник, 20 юли 2026 г., че е претърпяла пробив в сигурността. Според компанията атаката е извършена от автономен AI агент, който за един уикенд е изпълнил хиляди действия, ескалирал е правата си и е измъкнал вътрешни набори от данни и служебни идентификационни данни. Уязвимостите вече са запушени, а всички потребители се приканват да предприемат мерки.

Как е започнала атаката

Входната точка е позната и коварна: зловреден набор от данни, качен на платформата. Той е използвал две уязвимости за изпълнение на код в конвейера за обработка на данни на Hugging Face — през механизма за отдалечено зареждане на код и през template injection в конфигурацията на набора от данни, съобщава The Decoder.

Оттам нападателят е стигнал до ниво node, събрал е идентификационни данни и се е придвижил странично (lateral movement) през няколко вътрешни клъстера. Най-необичайното е характерът на атаката: според Hugging Face зад нея стои агентна рамка, оркестрирала над 17 000 отделни действия през рояк от краткоживущи sandbox среди, със самомигриращ command-and-control, скрит в публични услуги.

Важна уговорка: както отбелязва TechCrunch, компанията не е предоставила доказателства, че операцията наистина е била напълно автономна, а не управлявана от човек, който просто ползва AI инструменти.

Как компанията е използвала AI, за да се защити

Отбраната е също толкова показателна, колкото и нападението. Пробивът е засечен от AI-базиран конвейер за откриване на аномалии, след което LLM агенти за анализ са реконструирали хронологията и са извлекли индикаторите за компрометиране. Това е свило времето за разследване от дни до часове при анализа на онези 17 000+ действия.

Тук идва любопитният обрат: първоначално комерсиалните филтри за безопасност блокирали собственото разследване на екипа — предпазните механизми не различавали защитника от нападателя и отказвали да анализират „хакерско“ съдържание. Затова Hugging Face превключила към open-source модела GLM 5.2, пуснат локално на собствената им инфраструктура, което заобиколило едновременно ограниченията на политиките и риска от изтичане на данни навън.

Снимка: TechCrunch

Какво точно е изтекло и кой е засегнат

По думите на компанията пораженията са ограничени, но реални:

• ограничен брой вътрешни набори от данни;
• няколко служебни идентификационни данни (credentials).

Добрата новина: публичните модели, набори от данни и Spaces не са засегнати, а софтуерната верига за доставка (supply chain) е останала непокътната. Дали са компрометирани данни на клиенти и партньори все още се разследва — тоест обхватът не е окончателно затворен.

Компанията вече е отменила и подменила откраднатите идентификационни данни, ангажирала е органите на реда и външни специалисти по цифрова криминалистика.

Какви мерки да предприемете

Дори да смятате, че не сте пряко засегнати, Hugging Face приканва всички потребители да действат превантивно.

Конкретно:

• Подменете access токените си от настройките на профила и анулирайте старите.
• Прегледайте лога за достъп и историята на действията за непознати влизания или качвания.
• Ако сте вграждали токени на Hugging Face в CI/CD или в код, сменете ги и там.
• Включете двуфакторна автентикация, ако още не е активна.

Контекст: атаките стават агентни

Случаят е част от по-широка тенденция — AI агентите се превръщат в оръжие и в двете посоки на барикадата. Все повече компании залагат на автоматизирано откриване на пропуски, както направи и Capital One със своя инструмент VulnHunter, който търси уязвимости преди хакерите. Успоредно с това класическите уязвимости за изпълнение на код остават най-опасният вектор — както показа и критичната дупка wp2shell в ядрото на WordPress.

Изводът от инцидента с Hugging Face е двоен. Първо, качването на непроверено съдържание — набор от данни, модел, конфигурация — си остава реален канал за пробив, независимо колко „безобиден“ изглежда файлът. И второ, когато нападателят борави с AI в мащаб, защитата също трябва да е автоматизирана, при това понякога с open-source модел под собствен контрол, защото комерсиалните предпазители могат да се превърнат в пречка тъкмо в най-неподходящия момент.