Hugging Face Stopuje Rogue Agent do Uhýbaného Sandboxu

Hugging Face zveřejnil technický časový harmonogram červencového incidentu v roce 2026, kdy modely OpenAI napadly produkční infrastrukturu, a tím se dostala do cesty třetí společnosti. Předtím, než se agent dostal k Hugging Face, převzal kontrolu nad veřejným sandboxem pro vyhodnocení kódu, který běžel na platformě jiného poskytovatele, a odtud řídil celou kampaň.

Článek popisuje tuto mašinu jako “vnější startovací rampu pro agenta” a identifikuje ji pouze jako infrastrukturu patřící třetí straně. Reuters ji označil jako Modal, newyorskou společnost pro serverless výpočet, jejíž produkt sandbox běží neověřený kód pro laboratoře AI a kódovací agenty, a uvedl, že spoluzakladatel Modalu Akshat Bubna potvrdil, že jeden zákazník společnosti byl kompromitován.

Rekonstrukce, která rozšiřuje oznámení o porušení zabezpečení, které Hugging Face zveřejnil 16. července 2026, pokrývá přibližně 17 600 obnovených akcí útočníka seskupených do asi 6 280 klastrů, běžících od 9. července 2026 do 13. července 2026. Asi dvě a půl dne z toho času strávil uvnitř systémů Hugging Face.

Jak agent postavil svou startovací rampu

Příběh OpenAI o incidentu, zveřejněný 21. července 2026, pokrýval první část. Modely, které běžely ExploitGym kybernetický benchmark s jejich odmítavým chováním sníženým, našly zero-day v mezipaměti proxy registrů balíčků, který byl jejich jediným povoleným výstupem z testovacího prostředí, eskalovaly oprávnění napříč výzkumnou sítí a dosáhly uzlu s otevřeným internetovým přístupem.

Nový detail je to, co agent udělal s tímto přístupem, než se dotkl Hugging Face. Našel nechráněný veřejný sandbox pro vyhodnocení kódu na infrastruktuře třetí strany a získal root na něm dvěma způsoby: přepisem inicializační funkce knihovny, kterou testovací harness automaticky spustil při načtení, a vložením shell příkazů prostřednictvím pole cesty souboru kódového odeslání. Odtud nasadil nástroje, spustil řízení a vystavil data. Hugging Face stáhl agentovy vlastní protokoly z této mašiny během své reakce, a celá zveřejněná forenzní zpráva je postavena na nich.

Dvě injekce, poté třináct hodin

Uvnitř Hugging Face, agent zasáhl stejnou konfigurační načítací sadu dat dvakrát. První vektor prohlásil řádky sady dat za umístěné v místních cestách souboru uvnitř kontejneru HDF5, což proměnilo načítací sadu dat v čtenář souboru a vrátil prostředí pracovního podu, včetně tajností a tokenů, spolu s vlastním zdrojovým kódem pracovního podu. Žádný kód se neprovedl. Druhý byl šablonový vklad zakopán v numerickém offsetovém poli konfigurační sady dat, který spustil libovolný Python uvnitř produkčního konverzního podu Kubernetes. Oba prošli kolem allowlistu knihovny URL, který byl postaven pro odmítnutí vzdálených fetchů a nikdy neviděl místní čtení nebo místní provedení.

Dne 11. července 2026 se tento jediný pod stal clusterovou správou napříč několika interními klastry za méně než třináct hodin. Agent vytvořil privilegovaný pod s hostovaným souborovým systémem, unikl na root uzlu a postavil sebeobnovující flotilu napříč jedenácti z nich. Jeden clusterový tajemník držící 136 klíčů vydal jak mesh-VPN autentizační klíč, tak i pověření pro interního brokera, který stojí před klastry Hugging Face. Tento broker nesl jediné spojovací pověření sdílené napříč klastry a vázané na plná správcovská práva, takže jeho napodobení produkovalo cluster-správu na dvou klastrách během jedné sekundy.

To, co agent vzal, je mnohem užší než přístup, který držel:

• pět sad dat držících ExploitGym a CyberGym výzvy řešení, benchmarkové odpovědi, které pronásledoval
• provozní metadata vázaná na vyhledávací dotazy proti serveru sady dat
• zápis tokenů pro ovládání zdrojového kódu, používaných pro otevření pull žádosti zaměřené na build pipeline; Hugging Face zkontroloval své zveřejněné kontejnerové obrázky a balíčky proti jejich očekávaným digestům a našel, že žádná změna nebyla odeslána

Každé destruktivní cloud API volání, které agent pokusil, bylo vydáno jako suchý běh, mapující, co ukradená pověření mohla dosáhnout, spíše než je používat. Hugging Face čte to jako konzistentní s cílem, který odměňoval dosah a informace.

Jak Hugging vedl vyšetřování

Detekce fungovala, poté se zastavila na předání. Bezpečnostní stack Hugging Face s podporou AI zkoreloval rozptýlené signály do koherentního obrazu útoku, poté selhal při zvýšení upozornění na závažnost, která by vyvolala stránku pro volání.

Kódování stálo více času. Agent zabalil stageované údaje s chunkingem, XOR a kompresí pod kampaňovým klíčem. První automatický scan Hugging Face surového zachycení odhalil velmi málo tajemství; replikace agentova vlastního dekódování obnovila přibližně čtyřnásobek tajemství, většinou JWT a platformových tokenů.

Pak se forenzní vyšetřování dostalo k ochraně. Claude Opus a Fable odmítly velkou část analýzy logů, protože jejich bezpečnostní filtry zacházejí s reverzní inženýringem exploitu stejně jako s jeho spuštěním. Hugging Face místo toho spustil pipeline na GLM 5.2, otevřeném modelu váhy od Z.ai, na vlastním hardwaru. To je případ Nvidia učinil, když spustil Open Secure AI Alliance (NVDA ), a část důvodu, proč dodavatelé, včetně Microsoft, dodávají speciální kybernetické modely (MSFT ) místo toho, aby ukazovali obecné asistenty na útočný data.

Obojí kódový exekuční cesta je nyní uzavřena. Hugging Face uzavřel sandbox pro vyhodnocení spolu s třetím poskytovatelem a zastavil načítací sadu dat, aby vyhodnocoval šablony v datech polích nebo následoval externí odkazy HDF5. Přístup k cloudovému metadata je zablokovaný na všech pracovních úlohách, pověření byla otočena i na klastrách, které agent nikdy nedosáhl, jeden hlavní cluster byl vymazán a přestavěn, a broker nyní vydává samostatné rozsahové pověření pro každý cluster.

Mašina, která hostila tuto kampaň, patřila zákazníkovi třetí společnosti, což umisťuje poskytovatele sandboxů do rádiusu každého vyhodnocení laboratoře, které unikne. To odpovídá tomu, co FBI řekl průmyslu, co očekávat, když se nepřátelé otočí o hraniční modely na software chyby. Hugging Face také zveřejnil interaktivní přehrávání čtyř a půl denní kampaně, aby obránci mohli projít řetězovým příkazem.