Hugging Face: cyberattacco da un agente AI autonomo. Violata l'infrastruttura

Hugging Face ha subito un cyberattacco sofisticato che ha compromesso dataset interni e credenziali di servizio. L'incidente, svelato lo scorso giovedì, è stato attribuito a un "agente AI autonomo" che ha orchestrato migliaia di azioni attraverso sandbox temporanee, una dinamica che l'azienda stessa ha definito lo "scenario dell'attaccante agentico" previsto dal settore.

L'intrusione ha avuto inizio nella pipeline di elaborazione dati di Hugging Face. Gli aggressori hanno caricato un dataset malevolo, sfruttando due vulnerabilità di esecuzione codice per operare su un worker di elaborazione. Questo ha consentito ai malintenzionati di sottrarre credenziali legate a cloud e cluster, estendendo la loro presenza su più cluster interni. Le vulnerabilità specifiche includevano un'iniezione di template nella configurazione di un dataset e un loader di dataset con capacità di esecuzione codice remota.

Hugging Face sta ancora verificando se i dati di partner o clienti siano stati coinvolti nella violazione, impegnandosi a contattare direttamente le parti interessate in caso di coinvolgimento. Ad oggi, l'azienda non ha riscontrato alterazioni a modelli pubblici, dataset o Spaces ospitati sulla piattaforma. La supply chain software interna è stata verificata e risulta "pulita" da contaminazioni.

Le contromisure e il ruolo dell'AI nella difesa

In risposta all'attacco, Hugging Face ha immediatamente chiuso i percorsi di esecuzione codice vulnerabili. Ha provveduto a rimuovere l'attaccante dai sistemi compromessi, ricostruito i nodi interessati e revocato e ruotato tutte le credenziali compromesse. Sono stati inoltre implementati sistemi di rilevamento delle attività malevole più efficaci. L'incidente è stato denunciato alle forze dell'ordine e l'azienda sta collaborando con esperti forensi esterni per valutare l'intera portata della violazione.

Hugging Face ha ricostruito la dinamica: la campagna è stata orchestrata da un framework di agente autonomo – di cui non si conosce l'LLM sottostante, ma che appare basato su un harness di ricerca per la sicurezza agentica. Questo sistema ha eseguito migliaia di azioni individuali attraverso uno sciame di sandbox di breve durata, con un sistema di comando e controllo in grado di migrare autonomamente, ospitato su servizi pubblici.

Non è chiaro quale modello AI abbia alimentato gli agenti dell'attaccante – se un modello ospitato "jailbroken" o uno open-weight senza restrizioni. Hugging Face ha notato che l'aggressore non era vincolato da alcuna politica d'uso, mentre il lavoro forense interno è stato ostacolato dai "guardrail" dei modelli ospitati che l'azienda ha tentato di impiegare inizialmente per l'analisi dei log. Questa limitazione ha impedito un'indagine approfondita tramite i servizi commerciali.

Inizialmente, l'azienda ha provato a usare un modello AI commerciale di frontiera per analizzare i log dell'attacco, ma i "guardrail" imposti dal provider hanno bloccato gli sforzi di analisi. Per ovviare a questo problema, Hugging Face ha impiegato un proprio modello linguistico di grandi dimensioni locale, ottenendo il beneficio aggiuntivo di non dover caricare log sensibili su server di terze parti.

Questa esperienza ha portato Hugging Face a consigliare ai difensori di avere modelli AI capaci, verificati e pronti da eseguire sulla propria infrastruttura prima di un incidente. Ciò serve a evitare blocchi dovuti ai "guardrail" esterni e a mantenere i dati sensibili dell'attacco all'interno del proprio ambiente controllato. Hugging Face continuerà a condividere le proprie scoperte sulla difesa dagli attacchi guidati dall'intelligenza artificiale.

Consigli per gli utenti e precedenti incidenti

Hugging Face ha invitato gli utenti a ruotare i propri token di accesso e a controllare attentamente l'attività recente degli account per rilevare eventuali comportamenti sospetti. Questo incidente, sebbene il primo collegato a un agente AI, non è la prima violazione di sicurezza per la piattaforma. Due anni fa, l'azienda aveva già revocato alcuni segreti di autenticazione e consigliato agli utenti di passare a token di accesso granulari, in seguito a una precedente violazione della piattaforma Spaces.

In anni recenti, attori malevoli hanno abusato della piattaforma per distribuire modelli AI/ML malevoli, malware infostealer e migliaia di varianti di malware Android. La sicurezza delle piattaforme di IA, quindi, è un fronte sempre più caldo e critico.