Hugging Face разкри тази седмица, че е открила и овладяла проникване в производствената си инфраструктура, управлявано изцяло от автономна система с ИИ агенти, и се е защитила срещу него, използвайки собствен ИИ за съдебно-криминалистичен анализ.

Атакуващите са експлоатирали два недостатъка за изпълнение на код в тръбопровода за обработка на масиви от данни на Hugging Face: модул за отдалечено зареждане на код за масиви от данни и уязвимост от тип инжектиране на шаблони в конфигурацията на масивите.

След като е проникнал в работния процес за обработка, злонамереният субект е ескалирал правата си до достъп на ниво възел, събрал е идентификационни данни за облака и клъстера и се е придвижил странично през няколко вътрешни клъстера в рамките на един уикенд.

Неоторизираният достъп е засегнал ограничен набор от вътрешни масиви от данни и идентификационни данни за услуги, въпреки че Hugging Face не е открила доказателства за подмяна на публични модели, масиви от данни, Spaces или нейната верига за доставка на софтуер.

Този инцидент отразява по-широка тенденция в индустрията. Наскоро компанията за сигурност Sysdig разкри операция, която нарича JADEPUFFER, описана като първата напълно автономна кампания за зловреден софтуер за откуп (ransomware), управлявана от ИИ. При нея ИИ агент самостоятелно е проникнал в сървър с достъп до интернет, придвижил се е странично, криптирал е файлове и е отправил искане за откуп без никакво човешко участие.

Отделно, Годишният доклад за сигурност на ИИ за 2026 г. на Check Point документира реални прониквания, които все по-често се извършват от ИИ, като прозорецът между разкриването на уязвимост и нейното експлоатиране се свива от дни на часове.

Това, което направи тази кампания различна, бе мащабът и автономността: проникването е изпълнило хиляди отделни действия в рояк от кратковременни изолирани среди, използвайки самомигрираща инфраструктура за командване и контрол (C2), разположена в публични услуги – сценарий, който съвпада с дълго прогнозирания модел на „атакуващ с автономни агенти“.

Собствената система на Hugging Face за откриване на аномалии, която използва триаж на базата на големи езикови модели (LLM) над телеметрията за сигурност, първа е сигнализирала за компрометирането, като е свързала сигнали, които иначе биха се загубили в ежедневния шум.

За да възстанови пълната хронология на атаката от над 17 000 записани действия на атакуващия, Hugging Face е пуснала базирани на LLM агенти за анализ върху целия журнал с лог файлове, съкращавайки процес, който обикновено отнема дни, до няколко часа.

Критичен извод от разследването: комерсиалните API интерфейси на водещи модели са отказали да обработят съдебно-криминалистичния анализ, тъй като техните защитни бариери не са могли да разграничат експерта по реагиране на инциденти, изпращащ реални злонамерени кодове и C2 артефакти, от действителен атакуващ.

Поради това Hugging Face е преминала към GLM-5.2 – модел с отворени тегла, работещ на нейна собствена инфраструктура, което също така е гарантирало, че никакви данни за атакуващия или компрометирани идентификационни данни не напускат нейната среда.

Това разкрива сериозна асиметрия: атакуващите, използващи модифицирани („jailbroken“) или неограничени модели, не се сблъскват с подобни лимити, докато защитниците, разчитащи на хоствани търговски модели, могат да бъдат блокирани по средата на инцидента.

Като предпазна мярка Hugging Face съветва потребителите да променят своите токени за достъп и да прегледат скорошната активност в акаунтите си.

Динамиката в индустрията показва, че автономните офанзивни инструменти с ИИ са преминали от теорията към практиката; в отговор на това Националният център за киберсигурност на Обединеното кралство вече стартира инициативата „Cyber Shield“ за внедряване на защита с ИИ в национален мащаб.

Основният извод от този инцидент е, че организациите трябва да разполагат с подготвен и тестван собствен ИИ модел преди възникването на инцидент. Това е необходимо както за избягване на блокиране от защитните бариери по време на разследването, така и за предотвратяване на изтичането на чувствителни данни за атаката извън тяхната среда.

Както посочват от Hugging Face, повърхността на данните и моделите вече трябва да се третира като първокласен вектор на атака, изискващ защита с ИИ, която да съответства на офанзивата с ИИ с машинна скорост.