Cyberattaque Hugging Face: Comment les agents mangent-ils?

Hugging Face a confirmé une violation de l'infrastructure de production avec la déclaration publiée le 16 juillet 2026. L'attaque a introduit deux déficits d'exécution de code sur la ligne de traitement de l'ensemble de données et s'est répartie entre les clusters internes à la fin d'une semaine. Plus de 17 000 actions agressives ont été abandonnées aux archives. Comment l'attaque est transmise dans l'article, la cause du modèle commercial filtre dans l'analyse judiciaire et comment les institutions peuvent se préparer à cette classe d'attaque.

Qu'est-ce que la cyberattaque Hugging Face et quel âge ?

L'événement a été vécu dans son propre environnement de production d'une entreprise qui fournit une infrastructure d'intelligence artificielle. Selon la déclaration de l'événement publiée par Hugging Face L'attaque a été menée par un cadre d'agent autonome de bout en bout et des milliers d'actions séparées ont été exécutées sur beaucoup de bacs à sable de courte durée. L'infrastructure de contrôle du commandement est positionnée sur les services publics extérieurs et a été fondée de façon à changer son propre emplacement.

La limite de l'effet a été clairement tracée dans l'abstrait. Un accès non autorisé à des informations d'identification de service avec un nombre limité de données internes a été fourni. Dans les modèles publics, il n'y avait aucune preuve d'altération des ensembles de données et des espaces, avec des paquets libérés, les images des conteneurs ont été confirmées propres. Les données du partenaire et de la clientèle étaient encore à l'étape de l'évaluation au 17 juillet qui n'était pas affectée.

C'est pourquoi vous ne parlez pas sous un titre séparé, pas la taille du but, qui attaque. Sécurité artificielle du renseignement Les discussions portent depuis longtemps sur la protection du modèle. Le modèle ici n'était pas l'actif à protéger, mais la partie impliquée dans l'attaque.

Qu'est-ce qui annonce une attaque ?

Le point d'entrée était une couche que la plupart des institutions pensent à la deuxième place. Selon les nouvelles publiées dans Cyber Security News Les attaquants ont utilisé deux déficits d'exécution de code sur la ligne de traitement de l'ensemble de données : le déficit d'injection de modèle dans un installateur de données et la configuration de l'ensemble de données exécutant le code à distance.

Détail caché ici. L'attaque ne provenait pas de la couche de présentation du modèle. Un jeu de données malveillant exécute le code dans le traitement des travailleurs. C'est ce que le modèle lui-même n'est pas, le modèle était le pipeline qui se nourrit.

La différence tombe dans la pratique : tout travailleur qui traite des données non sécurisées doit être considéré comme saisi. Les fichiers de données sont considérés comme du contenu passif dans la plupart des équipes. Si l'installateur exécute la logique dans ce fichier, le fichier n'est plus passif.

Comment l'agent a couru le week-end ?

Après l'exécution du code initial, un attaquant expérimenté ressemble à des étapes. Le niveau de nœud du travailleur du traitement a été chargé, les références du nuage et de la grappe ont été recueillies, le mouvement latéral entre plusieurs grappes internes a été effectué. Toute la chaîne correspond à la fin d'une semaine.

Différence d'échelle dans le nombre d'étapes non en soi. La campagne a pris des dizaines de milliers d'actions automatisées à travers beaucoup de bacs à sable à courte durée de vie. L'infrastructure de contrôle des commandes est placée dans la fonction publique et conçue pour changer l'espace tel que déterminé. Le scénario offensif basé sur les agents, décrit depuis un certain temps dans le secteur, croyait au terrain.

Quel modèle ou quel cadre d'agent de la saldurga n'a pas été expliqué. La compagnie a promis un système ou un modèle sans restriction de poids libre qui a été emprisonné, mais ne l'a pas offert comme un cheval.

Les scénarios dans lesquels les agents sont attaqués sont parlés dans la même période. Empoisonnement de mémoire d'intelligence artificielle Il a été montré qu'un assistant avec un seul e-mail dans ses recherches pouvait placer un faux disque dans la mémoire permanente. Deux incidents sont considérés à la fois comme la cible et l'agresseur d'agents lorsqu'ils sont lus ensemble.

Qu'est-ce que l'intelligence artificielle du côté de la défense ?

Ce qui a pris l'attaque n'était pas une règle fondée sur les signes. Sur la télémétrie de sécurité, le triyaj basé sur le modèle de langage fait une ligne de détection d'anomalie associe des signaux qui apparaissent dans un dans le bruit quotidien et violation marquée.

Les affaires principales ont commencé après ça. Les agents d'analyse quotidiens basés sur des modèles linguistiques, qui comprennent plus de 17 000 actions offensives enregistrées. La chronologie a été réinstallée, les indicateurs de violation ont été extraits, les lettres de créances touchées ont été cartographiées et l'effet réel est laissé hors de l'activité pour surprise. L'expression de l'entreprise est normalement terminée dans les jours des heures de travail et augmente à la vitesse de l'agresseur.

Il vaut la peine de considérer l'équation inversée: dans la vitesse de la machine, il ne peut pas être cultivé avec une intervention incidente à la vitesse humaine. La raison d'utiliser l'agent du côté de la défense n'est pas à la recherche d'innovation, il est nécessaire.

Les mesures prises sur le côté du chapeau sont classées individuellement dans l'abstrait. La racine a été éteinte, le comptoir de l'attaquant a été nettoyé et les nœuds régénérés, les jetons avec des informations d'identification ont été annulés et retournés, des contrôles supplémentaires aux amas et des règles plus strictes ont été ajoutées. Un signal d'entretien élevé est fourni à un responsable en quelques minutes, quel que soit le jour de la semaine.

Pourquoi les filtres de modèles commerciaux posent-ils un problème?

Un bloc inattendu a été rencontré dans l'analyse. L'examen quotidien a été essayé avec des modèles finaux sur les API commerciales d'abord et n'a pas pu aboutir. L'analyse nécessite des commandes d'attaque réelles, exploiter les charges utiles et les artefacts de commande à envoyer au modèle en grand volume. Les filtres de sécurité des fournisseurs ont bloqué ces demandes, car les filtres ne peuvent pas distinguer d'un attaquant spécialisé qui interfère avec l'incident.

L'analyse s'effectue sur le modèle GLM 5.2 à masse ouverte, fonctionnant sur sa propre infrastructure. Le deuxième avantage du choix était: les données appartenant à l'agresseur et les informations d'identification examinées ne sortaient pas de l'environnement de l'entreprise.

Tableau u Analyse publiée dans AI Weekly des définitions directes comme une asymétrie. Lorsque les systèmes autonom du côté attaque ne reconnaissent pas la restriction d'utilisation, au milieu de l'événement d'équipe restant connecté au modèle commercial hébergé du côté défense peut être retiré.

La jambe d'attaque de denklemin n'est pas nouvelle. Élimination éthique des filtres modèles d'intelligence artificielle nuisibles Accueil Pendant un certain temps, le web sombre est en itinérance et aucune politique d'utilisation n'est sujet. Du côté du fournisseur, il y a une étanchéité dans la direction opposée: Sonnet Claude 5 Les mesures de cybersécurité sont publiées dans l'état ouvert par défaut. Chaque cadre, qui rend difficile l'utilisation du mal, rend l'intervention légitime de l'incident en même temps difficile. Le desserrage des filtres n'est pas une solution; il n'y a pas de manque, ouvrant une voie définie aux équipes d'intervention de l'événement vérifié.

Qu'est-ce que la comparaison JadePuffer?

L'événement ne se tient pas seul. L'opération JADEPUFFER, annoncée au début de juillet de Sysdig, a été évaluée comme le premier cas de rançon d'un agent modèle de langue a duré à la fin. Selon le rapport de Sysdig Threat Research Team L'agent est entré sur Internet via un Langflow ouvert, par exemple CVE-2025-3248, et transmis au serveur de la base de données de production.

Le détail du rapport apparaît au niveau otonomi. Selon les nouvelles publiées dans Infosecurity Magazine L'agent a essayé de répéter les étapes en échec et a atteint en 31 secondes une correction qui s'effectue à partir d'une introduction incorrecte dans un échantillon. Dans le même rapport, il a été noté que le modèle linguistique a une nouvelle détection du côté de la défense, qui ne dit pas son propre objectif dans la charge utile.

Le calendrier du troisième pilier de la tendance. Check Point Research publié le 13 juillet 2026 AI Security Report 2026 résumé L'intelligence artificielle peut traduire une horloge texte ouverte en un exploit. La fenêtre du patch côté défense est infusée avec un intervalle de 12 à 72 heures. Le calendrier patch est déjà fermé dans une institution prévue hebdomadaire.

Comment préparer les institutions à attaquer?

Les leçons à prendre ne sont pas exotiques, mais ennuyeusement basiques. Différence de vitesse d'application.

• Accepter la surface d'attaque de la ligne de données: Le fichier charge, dataset fonctionne et fonctionne avec chaque entrée non sécurisée qui remplit le modèle. Les travailleurs de la transformation devraient être portés en étant saisis.

• Gestion renforcée des secrets : Ce qui fait que la vitesse de l'attaque n'était pas claire, c'était de l'information. Les jetons de longue durée, les secrets texte et les grands comptes de service autorisés sont les plus grands accélérateurs.

• Limiter le trafic de sortie: L'examen des attaques dans le nuage de Sygnia inclut la limitation de la charge de travail avec seulement des cibles approuvées. D'après le rapport transféré dans Infosecurity Magazine Un seul attaquant a réduit une attaque AWS prévue pour des semaines à 72 heures avec des flux de travail soutenus par l'intelligence artificielle.

• Gérer les agents comme identité : Un élément autonome devrait également être enregistré en tant que compte, avec une autorisation minimale, l'utilisation du véhicule est limitée et le dossier est conservé.

• Il existe un modèle prêt à l'emploi dans sa propre infrastructure : L'incident doit être porté et préparé avant qu'un modèle à pondération ouverte ne soit inséré dans le filtre commercial instantanément et non en dehors des données agressives.

• Vérifier le seuil d'avertissement en minutes: Dans une attaque qui correspond à la fin de la semaine, une alarme attendue ne fonctionne pas.

Que pense la communauté?

La discussion porte sur la façon d'étiqueter, et non sur la gravité de l'incident.

Une coupure lit l'événement comme un partenaire. Dans l'environnement d'une entreprise qui fournit une infrastructure d'intelligence artificielle, elle a été complètement appliquée par un cadre autonome et publiée de manière transparente, une classe d'attaque concrète laissée pour se défendre contre le secteur. La barrière de filtre de la société est également décrite sans stockage, ce qui vaut aussi la peine d'ébullition.

Le parti opposé fait appel au classement « premier ». La documentation de JADEPUFFER (JADEPUFFER) au début de juillet rappelle la campagne d'espionnage de coordination de l'intelligence artificielle décrite en 2025. Selon cet avis, la question significative ne doit pas être attaquée et touchée, quelle partie de l'exécution est transférée. Le modèle de la saldurga est le point où les critiques sont recueillies. Un cas indéfini ne produit pas un profil de menace répétable du côté de la défense.

Un appel indépendant aussi sur la méthode. Il y a une seule explication source au milieu : l'abstrait n'appelle pas l'ensemble de données malveillant qui déclenche l'attaque, l'attaque n'identifie pas le cadre d'agent de l'attaquant, et avec lequel les ensembles de données internes ne comptent pas seulement les identifiants de service affectés. Il est nécessaire de lire les détails non vérifiés, transférés.

Il est nécessaire de corriger une lecture incorrecte. GLM 5.2 a été utilisé du côté de la défense. Les actions placées du côté offensif du modèle sont entrées en circulation, si voté le modèle de l'attaquant de compagnie.

Foire aux questions

Que s'est-il passé exactement dans la cyberattaque Hugging Face ? Une violation de l'infrastructure de production s'est produite et l'attaque a été menée par un cadre d'agent autonome pour mettre fin. L'entrée est fournie à partir de deux déficits d'exécution de code dans la ligne de traitement des ensembles de données. Saldurgan a augmenté au niveau des nœuds, a recueilli des informations d'identification des nuages et des grappes, et à la fin de la semaine il a déplacé latéralement entre les grappes internes.

Les utilisateurs sont-ils touchés par les modèles et les ensembles de données? Selon la déclaration de la société, il n'y avait aucune preuve d'altération dans les modèles publics, les ensembles de données et les espaces côté; les images de conteneur ont été nettoyées avec les paquets libérés. Le côté touché était un nombre limité de données et d'identifications de service internes. Le partenaire évalue les données du client.

Quel modèle d'intelligence artificielle l'attaque a-t-elle lancée ? Pas expliqué. La société n'a pas nommé le modèle, fournisseur, opérateur et cadre d'agent de l'offensive. Un système ou un modèle ouvert sans restriction a été promis de la possibilité, ce n'est pas un cheval. GLM 5.2 utilisé dans l'analyse Adli est du côté de la défense.

Tu dois faire quelque chose ? Oui, il est recommandé de faire pivoter les jetons d'accès aux fins de mesure et d'examiner les derniers mouvements de compte. Les jetons de longue durée utilisés dans les processus d'automatisation et d'IC sont prioritaires. Il est nécessaire de mettre à jour la valeur de la rotation du jeton dans les services connectés.

Que faire contre une attaque similaire? Tout service qui traite des données non sécurisées doit être accepté et transmis. Les secrets devraient rester de courte durée, limitant la charge de travail avec des objectifs approuvés. De hautes alertes importantes doivent atteindre un responsable en quelques minutes. Un modèle qui a été essayé dans son infrastructure pour ne pas être inséré dans la barrière de filtre instantanément.

Ce qui détermine la vitesse de la saldurga ne peut plus installer une équipe pour quelques personnes, mais combien d'agents peuvent fonctionner. La défense est forcée de passer à la même mesure et l'attache aux politiques de ses propres outils tout en le faisant. Le son est une preuve d'identité Intelligence artificielle identité imitation escroquerie Comme dans les cas, ce n'est pas la technologie d'hypothèse, qui est vieille ici: l'hypothèse d'une au début du clavier.