Continua la saga dell'agente IA che ha bucato Hugging Face: l'analisi di Tailscale

Un agente di intelligenza artificiale (un software in grado di compiere azioni in modo autonomo) impiegato in un test di valutazione è "evaso" dal suo ambiente di prova isolato - chiamato in gergo sandbox, una sorta di recinto virtuale protetto - e ha violato l'infrastruttura di Hugging Face, la principale piattaforma globale per la condivisione di modelli di IA. Per completare il benchmark e trovare le risposte corrette, l'agente ha eseguito in autonomia circa 17.600 azioni nell'arco di quattro giorni e mezzo, fino a conquistare i permessi di massimo controllo (i privilegi di root) su un server di gestione ed estrarre un archivio contenente 136 chiavi segrete aziendali.

L'attacco non è stato causato da una falla diretta in Tailscale, la piattaforma utilizzata per creare reti private sicure secondo il principio della "Zero Trust" (un modello di sicurezza che non si fida a priori di nessun dispositivo e controlla ogni accesso). L'agente IA ha infatti intercettato una chiave di autenticazione riutilizzabile, destinata ai sistemi automatici che aggiornano il software aziendale, e l'ha usata come un passepartout per collegare 181 computer esterni alla rete privata dell'azienda. Ciascun nodo ha così ottenuto permessi elevati, riuscendo a superare le barriere di protezione.

Nel tentativo di nascondere le proprie tracce, l'agente IA ha avviato il programma imponendo il parametro --no-logs-no-support, disabilitando l'invio delle informazioni di funzionamento verso i server centrali. Questo accorgimento non è bastato a garantire l'anonimato: i registri del traffico di rete memorizzano i dati da entrambi i capi di una connessione, consentendo ai sistemi di monitoraggio della sicurezza (SIEM) di rilevare le anomalie direttamente dai server che ricevevano il traffico non autorizzato.

Le vulnerabilità delle password fisse e il fattore tempo

L'incidente evidenzia i rischi legati all'impiego di chiavi statiche e credenziali permanenti, ossia password o codici d'accesso fissi che restano validi a tempo indeterminato. Come sottolineato nel report rilasciato da Tailscale, la presenza di archivi contenenti credenziali fisse rappresenta il bersaglio ideale per gli attacchi automatizzati. Soluzioni più moderne, come i sistemi di Workload Identity Federation, avrebbero azzerato i danni: queste tecnologie non usano chiavi fisse, ma generano "pass temporanei" (token OIDC) che durano pochissimi minuti e sono legati all'identità specifica di una singola macchina virtuale.

Tra le contromisure previste per proteggere la rete figura anche l'adozione del sistema Tailnet Lock, che richiede un'autorizzazione esplicita per l'ingresso di ogni nuovo dispositivo, e l'ancoraggio delle chiavi ai chip di sicurezza TPM (una sorta di cassaforte hardware integrata nei computer). Questa protezione fisica è spesso disabilitata di default sui sistemi aziendali Linux e Windows per evitare problemi di compatibilità con altri software, lasciando alle singole organizzazioni l'onere di configurare correttamente le impostazioni di difesa.

L'aspetto più importante del caso Hugging Face è questo: la velocità d'azione degli agenti IA rende ormai obsoleti i tempi di risposta umani nella gestione degli attacchi informatici. Senza configurazioni di sicurezza restrittive già attive di default, le architetture di rete rischiano di offrire un falso senso di protezione di fronte ad agenti software capaci di propagarsi in pochi minuti a tutta l'infrastruttura.