Hugging Face сообщает об инциденте безопасности с использованием ИИ-агента

Hugging Face раскрыла детали инцидента безопасности, произошедшего в июле 2026 года. Атака началась с эксплуатации двух путей выполнения кода в конвейере обработки данных: удаленного загрузчика наборов данных и инъекции шаблонов в конфигурации наборов данных. Злоумышленник использовал автономную агентную платформу (предположительно построенную на основе исследовательского инструментария для безопасности), которая выполнила тысячи действий в рое кратковременных песочниц с самомигрирующим управлением через публичные сервисы. Для обнаружения атаки Hugging Face применяла ИИ-систему аномалий на основе LLM, а для расследования — LLM-анализ более 17 000 событий. При попытке использовать коммерческие API передовых моделей запросы блокировались защитными механизмами провайдеров, поэтому анализ пришлось проводить на открытой модели GLM 5.2 на собственной инфраструктуре. Hugging Face устранила уязвимости, перестроила скомпрометированные узлы, отозвала затронутые учетные данные и усилила контроль доступа. Данных о клиентах или партнерах не найдено, но уведомления будут направлены при необходимости.